CVE-2026-39999: Apache APISIX: Bypass de Autenticação por Spoofing no Plugin jwt-auth
A CVE-2026-39999 é um bypass de autenticação por spoofing (CWE-290) no Apache APISIX, associado a determinadas configurações do plugin jwt-auth. O registro informa que o problema afeta da versão 2.2 até a 3.16.0 e que é corrigido na 3.17.0. A NVD atribui nota 9.1 pelo CVSS 3.1, e o registro não mostra inclusão no catálogo KEV da CISA.
Visão geral
A CVE-2026-39999 é um bypass de autenticação por spoofing (CWE-290) no Apache APISIX. Segundo o registro da CVE, determinadas configurações do plugin jwt-auth permitem que um atacante contorne a autenticação por completo.
Impacto
O registro descreve um bypass completo de autenticação. A NVD atribui nota 9.1 pelo CVSS 3.1 (vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N), e o CNA Apache atribui nota 7 pelo CVSS 4.0. Como o plugin é usado para validar JWTs em rotas protegidas, um bypass bem-sucedido provavelmente exporia funcionalidades protegidas por essa validação. Este ponto é uma inferência, não uma consequência declarada.
Produtos e versões afetadas
- Apache APISIX da versão 2.2 até a 3.16.0. O intervalo estruturado indica 2.2 ou superior e inferior a 3.17.0.
- Apenas implantações que usam as configurações afetadas do jwt-auth são descritas como vulneráveis. O registro não lista essas configurações.
Status de exploração
O registro não mostra esta CVE no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. Dados do EPSS não estão disponíveis no registro.
Correção e mitigação
- Atualize o Apache APISIX para a versão 3.17.0, que, segundo a descrição do CNA, corrige o problema.
- Identifique quais rotas usam o plugin jwt-auth e revise sua configuração nas rotas que protegem serviços sensíveis.
- Enquanto a atualização não for concluída, considere restringir o acesso a rotas sensíveis por meio de controles de rede. Trata-se de medida defensiva geral; as fontes não avaliam sua eficácia para este problema.
Orientações de detecção
- Revise os logs do gateway em busca de requisições que alcancem rotas protegidas sem o resultado de autenticação esperado e de padrões incomuns de autenticação bem-sucedida.
- Inventarie as instâncias do APISIX e confirme quais estão dentro do intervalo afetado.
Limitações das informações disponíveis
O registro não especifica as configurações do jwt-auth envolvidas, a causa raiz nem entradas no campo de correções. Também não há dados do EPSS. Fontes consultadas: NVD, CVE Record, lista de discussão da Apache, oss-security.
Perguntas frequentes
A CVE-2026-39999 está sendo explorada ativamente?
O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Qual versão corrige o problema?
A descrição do CNA informa que a atualização para a 3.17.0 corrige o problema. O campo de correções do registro está vazio, então vale conferir a lista oficial de correções do fornecedor.
Todas as implantações do Apache APISIX são afetadas?
O registro associa o problema a determinadas configurações do jwt-auth dentro do intervalo afetado. As configurações exatas não são listadas, então os administradores devem revisar as próprias configurações.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.