สรุปสั้น
ช่องโหว่ด้านความปลอดภัยระดับร้ายแรงใน WSO2 API Manager กำลังถูกใช้โจมตีจริงในวงกว้าง ตามผลการวิเคราะห์ของบริษัท watchTowr ช่องโหว่นี้มีรหัส CVE-2026-5430 คะแนน CVSS 9.8 จาก 10 เป็นกรณีของการตรวจสอบลายเซ็นเข้ารหัส (cryptographic signature) ที่ไม่ถูกต้อง ซึ่งอาจนำไปสู่การยึดบัญชีได้ โดยทีม Hacktron ได้รับเครดิตในการค้นพบและรายงานช่องโหว่นี้
ตามประกาศที่ WSO2 ออกเมื่อเดือนพฤษภาคม 2569 การยืนยันตัวตนแบบ JWT สามารถถูกข้ามได้เมื่อโทเคนถูกลงนามด้วยอัลกอริทึมที่ระบบไม่รองรับ เปิดทางให้เข้าถึงโดยไม่ได้รับอนุญาต และการใช้ช่องโหว่สำเร็จอาจนำไปสู่การเข้าถึงโดยไม่ได้รับอนุญาต รวมถึงการยึดบัญชีผู้ดูแลระบบและการยึดบัญชีอย่างสมบูรณ์ ทั้งนี้ watchTowr ระบุว่าเครือข่าย honeypot ของบริษัทจับโทเคน JWT ที่ฝังสิทธิ์ผู้ดูแลระบบมาแล้วตั้งแต่วันที่ 13 กันยายน 2569
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 16 กันยายน 2569 ว่า ช่องโหว่นี้กระทบผลิตภัณฑ์หลายรายการ ได้แก่ WSO2 API Control Plane เวอร์ชัน 4.6.0 และ 4.5.0, WSO2 API Manager เวอร์ชัน 4.6.0, 4.5.0, 4.4.0, 4.3.0, 4.2.0 และ 4.1.0, WSO2 Traffic Manager เวอร์ชัน 4.6.0 และ 4.5.0 ตลอดจน WSO2 Universal Gateway เวอร์ชัน 4.6.0 และ 4.5.0 โดยมีการปล่อยตัวแก้ไขผ่าน pull request สำหรับผู้ใช้ชุมชน และปล่อยเป็น update level ต่าง ๆ สำหรับลูกค้าที่มี WSO2 Support Subscription
นาย Yordan Ganchev ผู้เชี่ยวชาญข่าวกรองภัยคุกคามหลักของ watchTowr ระบุว่า ช่องโหว่นี้เกิดจากการที่การยืนยันตัวตน JWT รับโทเคนที่ลงนามด้วยอัลกอริทึมที่ตัวเองไม่รองรับ แล้วกลับอนุมัติโทเคนนั้น จึงเห็นได้ชัดว่าเหตุใดจึงเป็นบั๊กระดับวิกฤต โดยกระทบ API Manager ตั้งแต่ 4.1.0 ถึง 4.6.0 รวมถึง API Control Plane, Traffic Manager และ Universal Gateway ในการโจมตีที่สังเกตพบ โทเคน JWT ปลอมถูกสงสัยว่าใช้เพื่อเข้าถึงทุกเอนด์พอยต์เบื้องหลัง API พร้อมทั้งข้อมูลรับรอง consumer key และ secret ของทุกแอปพลิเคชันที่ลงทะเบียนไว้
รายละเอียดช่องโหว่
หัวใจของ CVE-2026-5430 คือการตรวจสอบลายเซ็นเข้ารหัสที่บกพร่อง ตามปกติ JWT (JSON Web Token) จะพกลายเซ็นที่ลงนามด้วยอัลกอริทึมที่กำหนดไว้ เพื่อให้ผู้รับตรวจสอบได้ว่าโทเคนของแท้และไม่ถูกดัดแปลง แต่ในกรณีนี้ เมื่อโทเคนถูกลงนามด้วยอัลกอริทึมที่ระบบไม่รองรับ ระบบยืนยันตัวตนกลับยอมรับและอนุมัติโทเคนนั้นอยู่ดี ทำให้ผู้โจมตีสามารถปลอมโทเคนที่ฝังสิทธิ์ผู้ดูแลระบบและผ่านด่านยืนยันตัวตนไปได้
นาย Ganchev อธิบายเพิ่มว่า ตัวบริการนี้ถูกออกแบบมาเพื่อดักคำขอ API ระหว่างทางไปยังระบบภายในอยู่แล้ว จึงเปิดโอกาสอย่างดีให้ผู้โจมตีแอบดักและขโมยข้อมูลอ่อนไหวที่กำลังส่งผ่าน และโต้ตอบกับบริการภายในได้ เปรียบเสมือน “การเคลื่อนที่ด้านข้างแบบสำเร็จรูป” (lateral movement-as-a-service) เพราะเมื่อยึด API gateway ได้ ผู้โจมตีก็มีจุดยืนที่มองเห็นและควบคุมทราฟฟิกที่วิ่งเข้าสู่ระบบเบื้องหลังทั้งหมด
ผลกระทบ
องค์กรที่ใช้ WSO2 API Manager และผลิตภัณฑ์ในตระกูลเดียวกันเป็นเกตเวย์กลางสำหรับ API ต้องถือว่าความเสี่ยงนี้เร่งด่วน เพราะเมื่อ API gateway ถูกยึด ผู้โจมตีไม่เพียงเข้าถึงบัญชีผู้ดูแลระบบ แต่ยังเข้าถึงข้อมูลรับรอง consumer key และ secret ของทุกแอปพลิเคชันที่ต่อผ่านเกตเวย์นั้น ซึ่งอาจกลายเป็นจุดตั้งต้นในการลุกลามเข้าสู่ระบบภายในและขโมยข้อมูลที่วิ่งผ่าน API ได้ในวงกว้าง ยิ่งไปกว่านั้น การที่ watchTowr ยืนยันว่ามีการโจมตีจริงแล้วตั้งแต่ 13 กันยายน หมายความว่านี่ไม่ใช่ความเสี่ยงเชิงทฤษฎี แต่เป็นภัยที่กำลังเกิดขึ้น องค์กรที่ยังไม่แพตช์จึงมีหน้าต่างเวลาที่จำกัดมากก่อนจะตกเป็นเป้า
คำแนะนำ
ในภาวะที่มีการโจมตีจริง ผู้ใช้ควรติดตั้งตัวแก้ไขโดยเร็วที่สุดเพื่อการป้องกันที่ดีที่สุด ผู้ใช้ชุมชนควรอัปเดตตาม pull request ที่ WSO2 ปล่อยออกมา ส่วนลูกค้าที่มี Support Subscription ควรอัปเดตเป็น update level ที่ระบุในประกาศ เช่น API Manager 4.6.0 ที่ update level 21, 4.5.0 ที่ 57, 4.4.0 ที่ 72 ไล่ไปจนถึง 4.1.0 ที่ 257 และเวอร์ชันที่ตรงกันของ API Control Plane, Traffic Manager และ Universal Gateway นอกจากการแพตช์ ผู้ดูแลระบบควรตรวจสอบล็อกการยืนยันตัวตนย้อนหลังเพื่อหาโทเคน JWT ที่ลงนามด้วยอัลกอริทึมผิดปกติหรือมีสิทธิ์ผู้ดูแลระบบที่ไม่คาดคิด และพิจารณาหมุนเปลี่ยนข้อมูลรับรอง consumer key และ secret ของแอปพลิเคชันที่ต่อผ่านเกตเวย์หากสงสัยว่าถูกเจาะ