CISA bổ sung lỗ hổng WSO2 và Adobe Commerce vào danh mục KEV
"CISA added two actively exploited vulnerabilities to its Known Exploited Vulnerabilities catalog: CVE-2026-5430 in WSO2 API Control Plane/API Manager/Traffic Manager/Universal Gateway and CVE-2026-71362 in Adobe Commerce and Magento. CVE-2026-5430 is a critical path traversal issue that can lead to unrestricted file upload and remote code execution, while CVE-2026-71362 is an authorization flaw that can let attackers gain elevated access to sensitive resources and hijack customer sessions; FCEB agencies were directed to remediate both by September 27, 2026."
Rủi ro ở mức rất cao do đã có khai thác thực tế, có thể dẫn tới remote code execution và chiếm đoạt phiên người dùng.
Có thể ảnh hưởng đến tính liên tục dịch vụ, dữ liệu khách hàng và phát sinh chi phí xử lý sự cố, đặc biệt với hệ thống WSO2 và Adobe Commerce/Magento.
Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) đã bổ sung hai lỗ hổng đang bị khai thác vào Known Exploited Vulnerabilities (KEV), gồm CVE-2026-5430 trong WSO2 API Control Plane/API Manager/Traffic Manager/Universal Gateway và CVE-2026-71362 trong Adobe Commerce/Magento.
Theo mô tả kỹ thuật, CVE-2026-5430 là lỗi path traversal mức nghiêm trọng, có thể dẫn đến unrestricted file upload và remote code execution. Trong khi đó, CVE-2026-71362 là lỗi incorrect authorization, cho phép kẻ tấn công truy cập nâng cao vào tài nguyên nhạy cảm và có thể chiếm đoạt phiên khách hàng mà không cần tương tác từ người dùng.
Các báo cáo từ cộng đồng nghiên cứu cho thấy cả hai lỗ hổng đều đã có dấu hiệu khai thác thực tế. Với CVE-2026-5430, hoạt động khai thác được ghi nhận từ ít nhất 13/09/2026. Với CVE-2026-71362, các nỗ lực khai thác cũng đã bị phát hiện và chặn trong tháng 08/2026.
FCEB agencies được yêu cầu khắc phục cả hai lỗ hổng trước 27/09/2026. Các tổ chức đang vận hành các sản phẩm liên quan nên ưu tiên vá lỗi, rà soát nhật ký truy cập, kiểm tra dấu hiệu tải tệp bất thường và xác minh các phiên người dùng có dấu hiệu bị chiếm quyền.