CISA добавило уязвимости WSO2 и Adobe Commerce в каталог KEV
Американское агентство CISA включило две критические уязвимости в каталог известных эксплуатируемых уязвимостей, указав на признаки их использования в атаках. Федеральным гражданским ведомствам США рекомендовано установить исправления для обеих уязвимостей до 27 сентября 2026 года.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло в каталог Known Exploited Vulnerabilities (KEV) две критические уязвимости: CVE-2026-5430 в продуктах WSO2 и CVE-2026-71362 в Adobe Commerce и Magento. По данным CISA, обе уязвимости уже используются в атаках.
CVE-2026-5430 имеет оценку 9,8. Это уязвимость обхода каталогов в WSO2 API Control Plane, API Manager, Traffic Manager и Universal Gateway. Она позволяет загружать файлы без ограничений и потенциально выполнять код удалённо.
Исследователи watchTowr сообщали, что фиксируют попытки эксплуатации этой проблемы против своих ловушек как минимум с 13 сентября 2026 года.
Вторая уязвимость, CVE-2026-71362, получила оценку 9,1 по CVSS. Ошибка проверки полномочий в Adobe Commerce и Magento может дать атакующему повышенный доступ к конфиденциальным ресурсам без взаимодействия с пользователем. Компания Sansec в августе сообщала, что обнаруживала и блокировала попытки эксплуатации: по её оценке, проблема позволяет подменить сессию покупателя и получить доступ к его аккаунту и личным данным.
Телеметрия Previdian также зафиксировала 10 сентября попытку атаки на её сенсоры-ловушки с одного IP-адреса из Австралии. При этом Adobe пока не обновляла свой бюллетень, чтобы подтвердить факт эксплуатации CVE-2026-71362.
Федеральным гражданским ведомствам США рекомендовано установить исправления для обеих уязвимостей до 27 сентября 2026 года.