CISA adiciona vulnerabilidades de WSO2 e Adobe ao catálogo KEV

Resumo

• CISA adicionou duas vulnerabilidades críticas ao catálogo KEV, uma em WSO2 e outra em Adobe Commerce e Magento, com evidencia de explotación ativa.

  A inclusão no catálogo KEV alerta sobre vulnerabilidades já exploradas, obrigando agências federais dos EUA a corrigir rapidamente.

• A vulnerabilidade CVE-2026-5430 em WSO2 é uma falha de path traversal que permite upload de arquivos e execução remota de código, ou un bypass de autenticação por JWT, dependendo da fonte.

  A discrepância na descrição técnica da vulnerabilidade WSO2 mostra que as fontes divergem sobre a causa raiz, mas ambas coincidem em que é crítica e explorada.

• A vulnerabilidade CVE-2026-71362 em Adobe Commerce e Magento permite a um atacante não autenticado alternar sessões de clientes, tomar controle da conta e acessar dados privados, com CVSS 9.1.

  Essa falha é especialmente grave porque permite tomar contas de usuários sem interação, e já foi explorada após a divulgação pública em agosto.

• A empresa de segurança Sansec detectou e bloqueou as primeiras tentativas de explotación de CVE-2026-71362 em agosto de 2026, e lançou uma atualização de emergência.

  Sansec atuou como barreira inicial contra a explotación, e posteriormente Adobe lançou parches isolados, destacando a necessidade de atualização imediata.

• Adobe ainda não confirmou a explotación de CVE-2026-71362, mas a CISA a listou no KEV com base em evidencia de explotación ativa.

  A diferença entre a falta de confirmação de Adobe e a inclusão no KEV pela CISA sugere que a explotación pode estar ocorrendo, mas não foi totalmente divulgada pelo fabricante.