CISA внесла уязвимости WSO2 и Adobe Commerce в каталог активно эксплуатируемых

Агентство по кибербезопасности и защите инфраструктуры США (CISA) в четверг включило две критические уязвимости в свой каталог известных эксплуатируемых уязвимостей (KEV). Основанием стали свидетельства их активного использования в атаках. Речь идёт о проблемах в продуктах WSO2, а также в Adobe Commerce и Magento.

Две критические бреши

Первая уязвимость, CVE-2026-5430 (оценка CVSS — 9,8), представляет собой обход каталога (path traversal) в WSO2 API Control Plane, API Manager, Traffic Manager и Universal Gateway. Она допускает загрузку произвольных файлов и в итоге может привести к удалённому выполнению кода.

Вторая, CVE-2026-71362 (CVSS — 9,1), связана с некорректной авторизацией в Adobe Commerce и Magento. Атакующий способен получить повышенный доступ к чувствительным ресурсам без какого-либо взаимодействия с пользователем.

Что известно об атаках

Включение CVE-2026-5430 в каталог произошло чуть больше чем через неделю после того, как компания watchTowr сообщила о попытках эксплуатации против своих ловушек-приманок начиная как минимум с 13 сентября 2026 года.

По CVE-2026-71362 голландская компания Sansec, специализирующаяся на безопасности электронной коммерции, ещё в августе 2026 года зафиксировала и заблокировала попытки атак. По её словам, уязвимость позволяет злоумышленникам переключить сессию одного покупателя на аккаунт другого, получив доступ к учётной записи жертвы и её личным данным. Телеметрия Previdian показывает, что единственный IP-адрес из Австралии пытался эксплуатировать брешь против сенсоров-приманок 10 сентября 2026 года. Adobe пока не обновила своё уведомление, чтобы подтвердить факт эксплуатации.

Сроки для ведомств

Федеральным гражданским органам исполнительной власти (FCEB) предписано установить исправления для обеих уязвимостей до 27 сентября 2026 года, чтобы защитить свои сети от актуальных угроз.

Источник: The Hacker News