WSO2 API Manager: exploração ativa forja token de admin

A watchTowr divulgou em 16 de setembro que sua rede de honeypots começou a capturar, na noite de 13 de setembro, tentativas de exploração real da CVE-2026-5430 contra instâncias expostas do WSO2 API Manager. Os tokens JWT observados chegam já assinados com privilégios de administrador embutidos, prontos para autenticar contra qualquer endpoint do gateway como se o atacante fosse o operador legítimo. A falha vale 9,8 em CVSS, o teto prático da escala.

A raiz é uma falha de verificação criptográfica: o WSO2 aceitava JWTs assinados com algoritmos que ele não deveria suportar, e o parser não bloqueava o fluxo. Um atacante que soubesse do buraco podia inventar um token, colocar o campo de usuário como admin, assinar com um algoritmo permissivo e apresentar à API. O gateway devolvia acesso. O bug foi descoberto e reportado por pesquisadores da Hacktron Team, e afeta o API Manager nas versões 4.1.0 até 4.6.0, além dos módulos API Control Plane, Traffic Manager e Universal Gateway na mesma faixa. A WSO2 publicou o aviso WSO2-2026-5328 com patches em todas as branches suportadas.

O tamanho do parque exposto

A WSO2 é um dos operadores de gateway de API com maior presença em governo, telecom, banco e saúde. Segundo material corporativo da própria empresa, o API Manager está em mais de 90 países, processa 50 bilhões de transações por dia e cobre um catálogo agregado de 200 mil APIs. É a camada de tráfego por onde passa parte importante do fluxo entre bancos digitais, operadoras móveis e serviços governamentais em várias jurisdições.

A lista de exposição é problemática por dois motivos que raramente aparecem juntos. Primeiro, o produto costuma ser instalado em datacenters próprios, o que significa que muitos operadores não recebem atualização automática e dependem de janelas trimestrais de manutenção. Segundo, a falha permite forjar tokens sem exigir credenciais válidas, o que dispensa qualquer engenharia social ou vazamento prévio.

Onde o problema aterrissa por região

No Reino Unido, o WSO2 opera dentro do stack técnico de bancos challenger e serviços do NHS. Um comprometimento de gateway ali expõe operações de open banking e integrações de prontuário eletrônico. Na Índia, onde a Aadhaar API e o UPI dependem de camadas de integração desse padrão, uma janela de invasão de dias entre patch e aplicação é convite direto para atores estatais e crime organizado avançarem.

O Brasil tem exposição própria. Grandes bancos, seguradoras e prefeituras adotam WSO2 como camada intermediária entre sistemas legados e front-ends digitais. Numa integração típica de Open Finance, o gateway carrega credenciais de longa duração para dezenas de fintechs. Um token de admin forjado permite listar essas credenciais e reencadear o ataque contra parceiros. Segundo a watchTowr, o payload observado nos honeypots foi projetado precisamente para descobrir e exfiltrar consumer keys e secrets de aplicações registradas.

O relógio do defensor

"Isso é o tipo de falha que transforma uma implantação em ponto de partida para toda a cadeia de fornecedores por trás dela", disse a watchTowr em seu boletim técnico. A empresa recomendou desativar temporariamente algoritmos de assinatura não usados, revogar tokens ativos e forçar rotação de secrets após a aplicação do patch. A WSO2 pediu upgrade imediato para as versões corrigidas ou aplicação dos patches out-of-band nas 4.1, 4.2, 4.3, 4.4, 4.5 e 4.6.

O custo do adiamento raramente compensa. A curva histórica de exploração para bugs de assinatura JWT segue o mesmo padrão: janela estreita entre descoberta e disponibilidade de scanners automatizados, ampliação rápida por operadores oportunistas assim que o exploit vaza. A watchTowr diz que o tráfego observado tem características de campanha coordenada, não de teste isolado.

Uma nota separada para os times de risco de terceiros: uma integração com uma seguradora, um adquirente ou uma operadora móvel que dependa de gateway WSO2 herda o vetor. Um pedido de confirmação por escrito sobre versão instalada e status do patch é atividade legítima de due diligence esta semana, não paranoia.

Há também um recado silencioso para arquitetos de plataforma. A CVE-2026-5430 não é sofisticada. É um erro clássico de validação de assinatura, o mesmo tipo de bug que atingiu bibliotecas JWT em 2015 e 2018 e que já deveria estar coberto por testes automatizados de fuzzing em qualquer produto crítico. O fato de ter sobrevivido no WSO2 até 2026 sugere lacuna de cobertura em suites de teste que priorizam funcionalidade e não os caminhos degenerados que atacantes conhecem de cor.

Para operadores em jurisdições com notificação obrigatória de incidente, o relógio começa a contar mais cedo. Nos Estados Unidos, a SEC exige divulgação em quatro dias úteis para incidentes materiais em empresas listadas; na União Europeia, o NIS2 fixa 24 horas para notificação inicial. Evidência de acesso não autorizado por token forjado dificilmente é interpretada como não material.