Kritische Umgehung der Authentifizierung im API-Gateway CVE-2026-3041 — Sofortiges Patchen erforderlich

Kritische Schwachstelle in API-Gateways entdeckt

Sicherheitsforscher von KENSAI haben eine kritische Schwachstelle zur Umgehung der Authentifizierung (CVE-2026-3041) identifiziert, die mehrere API-Gateway-Implementierungen betrifft, darunter Kong Gateway in den Versionen 3.0–3.7 sowie Konfigurationen von AWS API Gateway mit benutzerdefinierten Autorisierern. Die Schwachstelle hat einen CVSS-Wert von 9.8 und zählt damit zu den schwerwiegendsten im Jahr 2026 entdeckten API-Sicherheitslücken.

Technische Analyse

Die Schwachstelle nutzt eine Race Condition in der JWT-Validierungspipeline aus. Wenn API-Gateways gleichzeitige Anfragen mit fehlerhaften Autorisierungs-Headern verarbeiten, können Anfragen innerhalb eines Zeitfensters von etwa 2,3 ms die Authentifizierungs-Middleware vollständig umgehen. Angreifer können speziell präparierte, gebündelte HTTP/2-Anfragen erstellen, die dieses Zeitfenster zuverlässig treffen und in kontrollierten Tests eine Erfolgsquote von 94 % bei der Umgehung erreichen.

Ausmaß der Auswirkungen

Internetweite Scans von KENSAI zeigen, dass mehr als 12.000 produktive API-Gateway-Bereitstellungen unmittelbar gefährdet sind. Zu den am stärksten betroffenen Branchen zählen Fintech (34 %), Gesundheits-SaaS (22 %) und E-Commerce-Plattformen (18 %). Die Schwachstelle ist besonders gefährlich, da sie keine vorherige Authentifizierung erfordert und aus der Ferne mit einer einzigen HTTP-Anfrage ausgenutzt werden kann.

Betroffene Versionen

• Kong Gateway 3.0.x bis 3.7.2 (behoben in 3.7.3)
• AWS API Gateway mit Lambda-Autorisierern, die gemeinsam genutzte JWT-Bibliotheken verwenden (aws-jwt-verify < 4.0.1)
• Tyk Gateway 5.0.x bis 5.3.1 (behoben in 5.3.2)
• Benutzerdefinierte Implementierungen mit jose4j < 0.9.4

Aktive Ausnutzung

Die Bedrohungsinformationen von KENSAI bestätigen eine aktive Ausnutzung seit dem 28. Februar 2026. Mindestens drei verschiedene Bedrohungsakteursgruppen nutzen diese Schwachstelle: Eine konzentriert sich auf APIs von Kryptowährungsbörsen, eine weitere nimmt Endpunkte für Gesundheitsdaten ins Visier und eine dritte führt Erkundungsaktivitäten gegen APIs von Finanzinstituten in den DACH- und Benelux-Regionen durch.

Sofortige Maßnahmen zur Behebung

1. Kong Gateway unverzüglich auf Version 3.7.3 oder höher aktualisieren
2. aws-jwt-verify in allen Lambda-Autorisierern auf Version 4.0.1 aktualisieren
3. Als vorübergehende Schutzmaßnahme eine Ratenbegrenzung für Authentifizierungsendpunkte implementieren
4. Detaillierte API-Zugriffsprotokollierung aktivieren und auf ungewöhnliche nicht authentifizierte Anfragen überwachen
5. Die API-Zugriffsprotokolle der vergangenen 30 Tage auf Anzeichen einer Ausnutzung überprüfen

So erkennt KENSAI diese Schwachstelle

Die automatisierte Scan-Engine von KENSAI enthält seit dem 2. März 2026 eine spezielle Erkennung für CVE-2026-3041. Unser Scanner sendet sichere, nicht destruktive Prüfanfragen, die auf die Race Condition testen, ohne sie auszunutzen. Organisationen, die die kontinuierliche Überwachung von KENSAI nutzen, erhalten Echtzeitwarnungen, wenn ihre API-Gateways nach Aktualisierungen oder Konfigurationsänderungen anfällig werden.