La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) incorporó el jueves dos fallas de seguridad críticas que afectan a WSO2 y a Adobe Commerce y Magento a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), con base en evidencia de explotación activa.
Detalles de las vulnerabilidades
- CVE-2026-5430 (puntuación CVSS: 9.8) – Una vulnerabilidad de path traversal en WSO2 API Control Plane, API Manager, Traffic Manager y Universal Gateway que podría permitir la carga irrestricta de archivos y llevar a ejecución remota de código.
- CVE-2026-71362 (puntuación CVSS: 9.1) – Una vulnerabilidad de autorización incorrecta en Adobe Commerce y Magento que podría permitir a un atacante obtener acceso elevado a recursos sensibles sin necesidad de interacción del usuario.
Explotación en el mundo real
La inclusión de CVE-2026-5430 en el KEV se produce poco más de una semana después de que watchTowr informara que ha observado intentos de explotación en el mundo real contra sus honeypots desde al menos el 13 de septiembre de 2026.
En cuanto a CVE-2026-71362, Sansec señaló en agosto de 2026 que había detectado y bloqueado intentos de explotación dirigidos a la falla.
La vulnerabilidad permite a los atacantes cambiar una sesión de cliente a otra cuenta de cliente. Esto les da acceso a la cuenta de la víctima y a datos privados del cliente.
La telemetría de Previdian indica que una única dirección IP desde Australia intentó explotar la falla contra sus sensores honeypot el 10 de septiembre de 2026. Adobe aún no ha actualizado su aviso para confirmar el estado de explotación.
Plazo para agencias federales
Se recomienda a las agencias del Poder Ejecutivo Civil Federal (FCEB) aplicar las correcciones para ambas vulnerabilidades antes del 27 de septiembre de 2026, con el fin de proteger sus redes contra amenazas activas.
Deja una respuesta