CVE-2026-14916
Vulnérabilité élevée dans Kong Enteprise Gateway (Kong)
Description
A JWT signature verification vulnerability affects Kong components that perform JWT validation for MCP OAuth2 or DataKit integrations inside Kong API Gateway Enterprise. The affected code does not properly validate that the JWT signing algorithm is compatible with the type of key used for verification. As a result, an unauthenticated remote attacker may be able to craft a forged JWT that is incorrectly accepted as valid, leading to authentication bypass and potential compromise of confidentiality, integrity, and availability.
Gravité et risque d'exploitation
CVE-2026-14916 obtient un score CVSS de 7.7/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.67 %, ce qui la place devant 51.0 % des CVE référencées.
Que faire ?
- Vérifiez si Kong Enteprise Gateway (versions <3.4.3.29, 3.15.0.0, <3.14.0.12, <3.15.0.3, 3.4.0.0, 3.12.0.0, <3.12.0.10, 3.14.0.0, <3.13.0.9, 3.10.0.0, <3.10.0.17, 3.13.0.0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.