Trusted DesignCVE-2026-5430 の詳細
CVEの情報
説明:
The JWT authentication mechanism accepts tokens signed with algorithms other than those explicitly configured or supported. This allows an attacker to craft a JWT with an unsupported algorithm, which is then incorrectly validated, leading to unauthorized access.
Successful exploitation of this vulnerability may result in unauthorized access to the system, including the potential compromise of administrative accounts and full account takeover. The CVSS score is adjusted to 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) in single-tenant deployments, reflecting that the impact is contained within a single security authority boundary.
CVE更新日: 2026-08-06 08:16:33.240000
CVSSバージョン: 3.1
CVSSスコア: 10.0
KEVの情報
KEV更新日: 2026-09-24
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.005880000
EPSS更新日: 2026-10-18 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2026-5430に関する脆弱性の調査結果を以下に解説します。
1. 脆弱性の概要
CVE-2026-5430は、WSO2製品におけるJWT（JSON Web Token）認証メカニズムの脆弱性であり、認証バイパスを引き起こします。具体的には、JWT認証メカニズムが、明示的に設定またはサポートされていないアルゴリズムで署名されたトークンを受け入れてしまうことが原因です。これにより、攻撃者はサポートされていないアルゴリズムでJWTを偽造し、システムがこれを誤って検証することで、不正なアクセスが可能となります。
1.1 影響
この脆弱性が悪用されると、システムへの不正アクセス、管理アカウントの乗っ取り、および完全なアカウントテイクオーバーにつながる可能性があります。 WSO2のAPIおよびIDインフラストラクチャは、銀行、通信、政府機関、ロジスティクスネットワークなど、多くの企業で利用されているため、影響範囲は広範にわたる可能性があります。
1.2 深刻度
CVSS (Common Vulnerability Scoring System) スコアは10.0（CRITICAL）と評価されており、単一テナントのデプロイメントでは9.8に調整されます。これは、影響が単一のセキュリティ権限境界内に含まれることを反映しています。 CISA (Cybersecurity and Infrastructure Security Agency) もこの脆弱性を「既知の悪用された脆弱性 (Known Exploited Vulnerabilities)」カタログに追加しており、その深刻度を強調しています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
OSバージョンに関する具体的な言及はありませんが、以下のWSO2製品のバージョンが影響を受けます。
2.2 影響を受ける設定
JWT認証メカニズムが、明示的に設定またはサポートされていないアルゴリズムで署名されたトークンを受け入れてしまう設定が影響を受けます。これは、JWTアルゴリズムの混同攻撃（"alg: none"ファミリーのJWT攻撃の変種）に類似しており、サーバーが有効な署名アルゴリズムを厳密に強制しないために発生します。
3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策
WSO2が提供するベンダーパッチを適用することが恒久的な対策です。パッチは4月に出荷され、セキュリティアドバイザリは5月に公開されました。 CISAは、影響を受ける製品を使用している連邦機関に対し、9月27日までに推奨されるアップデートまたは緩和策を適用するか、製品の使用を中止するよう指示しています。
4.2 暫定回避策（緩和策）
検索結果からは、直接的な暫定回避策や緩和策は明確に示されていません。ベンダーの指示に従い、CISAのBOD 26-04（リスクに基づいたセキュリティアップデートの優先順位付け）ガイダンスに準拠して緩和策を適用することが推奨されています。 パッチ適用が最も重要な対策とされています。
参照したサイト