Американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) в четвъртък добави две критични уязвимости в сигурността, засягащи WSO2, Adobe Commerce и Magento, към своя каталог с известни експлоатирани уязвимости (KEV) въз основа на доказателства за активна експлоатация.

Уязвимостите са изброени по-долу –

  • CVE-2026-5430 (CVS score: 9.8) - Уязвимост от тип обхождане на директории (path traversal) в WSO2 API Control Plane, API Manager, Traffic Manager и Universal Gateway, която би могла да позволи неограничено качване на файлове и да доведе до отдалечено изпълнение на код.
  • CVE-2026-71362 (CVSS score: 9.1) - Уязвимост от тип неправилна авторизация в Adobe Commerce и Magento, която би могла да позволи на атакуващ да се възползва от нея, за да получи повишени права за достъп до чувствителни ресурси без необходимост от потребителско взаимодействие.

Добавянето на CVE-2026-5430 към KEV идва малко повече от седмица след като watchTowr заяви, че наблюдава опити за експлоатация срещу своите примамки (honeypots) най-малко от 13 септември 2026 г.

Що се отнася до CVE-2026-71362, Sansec отбеляза през август 2026 г., че е открила и блокирала опити за експлоатация, насочени към уязвимостта.

„Уязвимостта позволява на атакуващите да превключат клиентска сесия към акаунта на друг клиент“, заявява нидерландската компания за сигурност на електронната търговия. „Това им дава достъп до акаунта на жертвата и до личните клиентски данни.“

Телеметрията на Previdian показва, че единичен IP адрес от Австралия е направил опит да експлоатира уязвимостта, насочвайки се към нейните сензори за примамки на 10 септември 2026 г. Adobe все още предстои да актуализира своя бюлетин, за да потвърди статуса на експлоатация.

Препоръчва се на федералните граждански изпълнителни агенции (FCEB) да инсталират корекции за сигурност и за двете уязвимости до 27 септември 2026 г., за да защитят мрежите си от активни заплахи.