Eine glatte 10,0 auf der CVSS-Skala ist selten — und wenn sie auftaucht, sollte jeder Admin aufhorchen. Genau das ist jetzt bei WSO2 passiert, einem Open-Source-Anbieter, dessen API-Gateways und Identitätsprodukte weltweit bei Unternehmen und Hostern im Hintergrund laufen. Der Patch existiert bereits seit dem Frühjahr. Das Problem: Seit dem 13. September nutzen Angreifer die Lücke aktiv aus, und heute, am 24. September, hat die US-Behörde CISA sie offiziell in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen.
WAS KAPUTT IST: Ein Algorithmus-Trick hebelt die Anmeldung aus
Die Lücke trägt die Kennung CVE-2026-5430 und sitzt tief im Anmeldemechanismus. WSO2-Produkte prüfen bei der Authentifizierung sogenannte JWT-Tokens — kleine, digital signierte Datenpakete, die belegen, wer sich gerade einloggt. Der Fehler: Wird ein Token mit einem nicht unterstützten Signaturalgorithmus vorgelegt, akzeptiert das System es trotzdem. Im Klartext heißt das: Ein Angreifer kann sich ein Token selbst basteln, es mit einem Trick-Algorithmus signieren, und die Prüfung schaut einfach weg.
Die Folge ist kein kleiner Seitenkanal, sondern die komplette Übernahme von Konten — bis hin zu Administrator-Zugängen. Genau deshalb liegt die CVSS-Bewertung im Mehrmandanten-Betrieb bei der theoretischen Höchstpunktzahl 10,0, im klassischen Einzelbetrieb bei ebenfalls extrem hohen 9,8.
SEIT WOCHEN im Visier: Die Angriffe laufen längst
Besonders unangenehm an diesem Fall ist das Timing. WSO2 hatte die Lücke bereits im April über GitHub-Patches und offizielle Updates geschlossen. Wer damals aktualisiert hat, ist fein raus. Sicherheitsforscher berichten jedoch, dass der erste bestätigte Angriff gegen ein Honeypot-System am 13. September registriert wurde — gut fünf Monate nach Verfügbarkeit des Fixes. Offenbar haben viele Betreiber den Patch schlicht liegen lassen, und genau diese Lücke zwischen Patch-Verfügbarkeit und tatsächlicher Installation nutzen Angreifer systematisch aus.
Mit der Aufnahme in die CISA-KEV-Liste am 24. September wird der Fall jetzt amtlich: US-Bundesbehörden müssen zwingend nachziehen, und die Aufnahme gilt allgemein als starkes Signal dafür, dass ein Fehler in freier Wildbahn missbraucht wird — nicht nur theoretisch in einem Labor.
WER BETROFFEN IST
Betroffen sind mehrere zentrale WSO2-Bausteine, die zusammen den API-Verkehr großer Organisationen absichern:
- WSO2 API Control Plane 4.6.0 und 4.5.0
- WSO2 API Manager 4.1.0 bis 4.6.0
- WSO2 Traffic Manager 4.6.0 und 4.5.0
- WSO2 Universal Gateway 4.6.0 und 4.5.0
Wer WSO2 selbst nie bewusst installiert hat, ist trotzdem nicht automatisch aus dem Schneider: Die Produkte stecken häufig als unsichtbare Vermittlungsschicht zwischen Kundenanwendungen und internen Diensten, etwa bei Banken, Versicherungen, Behörden und größeren Webhostern. Für die klassische Homelab-Installation im Wohnzimmer ist das Risiko gering — für jeden, der WSO2 beruflich betreibt, ist es akut.
SO PATCHST DU RICHTIG
WSO2 patcht nicht über klassische Versionssprünge, sondern über sogenannte Update-Level innerhalb derselben Hauptversion. Je nach Produkt und installierter Version sind das Stufen zwischen Update 21 (aktuelle 4.6.0-Linie) und Update 257 (ältere 4.1.0-Linie). Der schnellste Weg: über den WSO2-Update-Manager oder die passenden GitHub-Patches auf die in der Advisory genannte Mindest-Update-Stufe ziehen. Parallel lohnt ein Blick in die Zugriffslogs — verdächtig sind Tokens mit ungewöhnlichen oder nicht standardmäßigen Signatur-Headern sowie Admin-Logins aus unbekannten Netzwerken.
FAZIT: Der Patch allein reicht nicht
CVE-2026-5430 zeigt ein Muster, das in der IT-Sicherheit immer wieder auftaucht: Ein Fix existiert, aber die Lücke zwischen Verfügbarkeit und tatsächlicher Installation wird zum Einfallstor. Fünf Monate reichten, damit Angreifer die Schwachstelle systematisch abklopfen konnten. Wer WSO2 betreibt und die Update-Stufe nicht kennt, sollte das heute noch klären — nicht erst, wenn die eigenen Logs verdächtige Admin-Zugänge zeigen.