En bref

  • CVE-2026-5430 (CVSS 9.8) : bypass de signature JWT dans WSO2 API Manager permettant une prise de contrôle de compte administrateur sans aucune authentification préalable
  • Produits affectés : WSO2 API Manager, API Control Plane, Traffic Manager et Universal Gateway — déployés par des banques, opérateurs télécoms et gouvernements dans plus de 90 pays
  • Action requise : appliquer immédiatement le patch WSO2 d'avril 2026 ; analyser les logs JWT à la recherche de tokens forgés depuis le 13 septembre 2026

Les faits

Le 16 septembre 2026, des chercheurs de watchTowr ont publié un rapport confirmant que la vulnérabilité CVE-2026-5430 fait l'objet d'une exploitation active dans la nature. La faille, classée CVSS 9.8, affecte le mécanisme de vérification des signatures JSON Web Token (JWT) de WSO2 API Manager et de plusieurs produits connexes de la gamme WSO2.

CVE-2026-5430 est un cas de vérification cryptographique défaillante, référencé sous CWE-347 (Improper Verification of Cryptographic Signature). La plateforme WSO2 accepte des tokens JWT signés avec un algorithme non supporté par la spécification RFC 7519, contournant ainsi tout contrôle d'authenticité. Un attaquant non authentifié peut forger un token JWT lui attribuant des droits d'administrateur complets sur la plateforme, sans connaître la moindre clé privée, secret partagé ou credential valide.

WSO2 API Manager est une solution open-source de gestion d'API massivement déployée dans des environnements hautement critiques. Selon les données de watchTowr, la plateforme est présente dans plus de 90 pays. Cyber Daily a notamment cité Telstra et Vodafone parmi ses utilisateurs. La plateforme orchestre les flux d'API entre les applications internes, les systèmes partenaires et les services exposés au public, ce qui en fait un point d'accès stratégique à l'ensemble du système d'information.

L'exploit a été détecté pour la première fois le 13 septembre 2026, lorsque le réseau de honeypots de watchTowr a commencé à capturer des tokens JWT entrants dotés de droits administrateur forgés de toutes pièces. Les chercheurs ont reproduit l'exploit à partir du patch officiel WSO2 en procédant à une analyse différentielle du code corrigé — technique dite du "patch diffing" — pour identifier précisément le mécanisme vulnérable et valider leur proof-of-concept.

La technique d'exploitation repose sur la soumission d'un JWT dont le header "alg" (algorithm) est défini sur "none" ou sur une valeur non reconnue par la bibliothèque de vérification. Dans les versions vulnérables de WSO2, l'absence de rejet explicite des algorithmes non supportés conduit la plateforme à interpréter le token comme valide. L'attaquant encode ensuite dans le payload du JWT les claims d'identité et de rôle qu'il choisit, obtenant ainsi un accès administrateur complet à l'ensemble de la plateforme et à toutes les APIs qu'elle gère.

L'impact potentiel d'une compromission est particulièrement étendu dans le contexte WSO2. Un attaquant disposant de droits admin peut modifier les politiques d'autorisation appliquées à toutes les APIs gérées, créer de nouveaux comptes administrateurs pour établir une persistance discrète, intercepter ou rediriger le trafic API en temps réel, exporter les configurations d'authentification (clés OAuth, certificats TLS, secrets backend), et potentiellement atteindre les systèmes backend exposés via les APIs configurées dans la plateforme.

Le fait que le numéro CVE n'ait été officiellement publié qu'en début août 2026 — alors que WSO2 avait silencieusement corrigé la faille en avril 2026 — explique la fenêtre de plusieurs mois durant laquelle peu d'organisations ont priorisé cette mise à jour. Aucun détail technique public n'était disponible jusqu'à mi-septembre, mais les attaquants ont manifestement réalisé leur propre analyse du patch pour en extraire la nature exacte de la vulnérabilité. Ce scénario se répète de façon croissante : le patch guide les attaquants vers le point vulnérable plus vite qu'il ne protège les organisations.

Au 20 septembre 2026, la vulnérabilité n'est pas encore répertoriée dans le catalogue KEV de la CISA, mais les honeypots de watchTowr continuent d'enregistrer des tentatives d'exploitation. SecurityWeek et The Hacker News ont tous deux émis des alertes à destination des entreprises utilisatrices. Les organisations utilisant WSO2 dans leur infrastructure d'API management doivent considérer cette divulgation comme une urgence de premier ordre.

Impact et exposition

Tous les déploiements de WSO2 API Manager, API Control Plane, Traffic Manager et Universal Gateway antérieurs au patch d'avril 2026 sont exposés. Les instances accessibles directement depuis internet sans WAF ni restriction d'accès réseau au panneau d'administration constituent le risque le plus immédiat. Dans un contexte bancaire ou télécom, une compromission peut permettre l'accès aux données clients, aux transactions financières en transit, ou aux configurations réseau critiques des systèmes backend exposés via les APIs gérées par la plateforme.

Recommandations

  • Patcher immédiatement : appliquer le correctif WSO2 publié en avril 2026 depuis le portail de support officiel ; traiter l'opération comme critique et planifier une fenêtre de maintenance d'urgence si non encore fait
  • Analyser les logs JWT : rechercher dans les logs de l'API Manager des tokens JWT présentant un header "alg: none" ou un algorithme inhabituel — signe d'une tentative d'exploitation ou d'une compromission déjà réalisée entre avril et septembre 2026
  • Restreindre l'accès réseau : le panneau d'administration WSO2 ne devrait jamais être exposé directement sur internet ; mettre en place une règle de pare-feu ou de WAF bloquant les accès non autorisés
  • Révoquer les tokens admin actifs : en cas de doute sur une compromission antérieure, forcer la révocation de tous les tokens admin et procéder à une rotation complète des clés OAuth et des certificats configurés dans la plateforme
  • Alertes SIEM : créer une règle de détection sur toute authentification à WSO2 utilisant un algorithme JWT non standard et l'alimenter vers le SOC

Alerte critique

CVE-2026-5430 est activement exploitée depuis le 13 septembre 2026. Si votre déploiement WSO2 n'a pas reçu le patch d'avril 2026, considérez votre plateforme comme potentiellement compromise. Des jetons JWT forgés avec des droits administrateur complets peuvent avoir permis une exfiltration de données ou une modification silencieuse de vos politiques API sans laisser de trace évidente dans les logs applicatifs standards.

Comment détecter si nos APIs WSO2 ont été compromises avant l'application du patch ?

Recherchez dans vos logs WSO2 les entrées contenant "alg: none" ou un algorithme de signature non standard dans les headers JWT. Vérifiez les créations de comptes administrateurs inattendues, les modifications de politiques d'API inhabituelles, et les connexions depuis des adresses IP non référencées dans votre baseline. Une comparaison de la configuration API actuelle avec votre dernier backup propre peut révéler des backdoors discrètes introduites post-compromission. Si vous observez l'un de ces indicateurs, engagez une analyse forensique avant toute autre action.

Votre infrastructure API Gateway est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés sur les plateformes d'API management pour identifier les configurations vulnérables et les compromissions potentielles avant qu'elles ne soient exploitées.

Demander un audit