CISA nimmt WSO2- und Adobe-Commerce-Schwachstellen in die Liste der ausgenutzten Schwachstellen auf

CISA hat zwei aktiv ausgenutzte Sicherheitslücken in WSO2-API-Management-Produkten und Adobe Commerce/Magento in seinen Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen, wie die US-Cybersicherheits- und Infrastruktursicherheitsbehörde am Donnerstag bekannt gab. Der KEV-Katalog listet Software-Schwachstellen auf, die Bundesbehörden der Exekutive bis zu einem festgelegten Datum patchen müssen, da Angreifer sie bereits in realen Kampagnen nutzen. Die beiden neu aufgeführten Schwachstellen sind CVE-2026-5430 in WSO2 und CVE-2026-71362 in Adobe Commerce und Magento.

CVE-2026-5430 hat einen CVSS-Schweregrad von 9,8 von 10 und wird als Path-Traversal-Schwachstelle in WSO2 API Control Plane, API Manager, Traffic Manager und Universal Gateway beschrieben. Path Traversal ist eine Art von Schwäche, die es einem Angreifer ermöglicht, durch speziell gestaltete Anfragen aus den Verzeichnissen herauszutreten, die eine Webanwendung eigentlich zulassen soll. In diesem Fall könnte dies unbegrenzten Dateiupload ermöglichen und zur Remote-Code-Ausführung führen, was bedeutet, dass ein Angreifer eigene Befehle auf dem betroffenen Server ausführen kann. Das Sicherheitsunternehmen watchTowr gab an, seit mindestens dem 13. September 2026 Ausnutzungsversuche in freier Wildbahn gegen seine Honeypots – Ködersysteme, die eingerichtet wurden, um Angriffe zu beobachten – festgestellt zu haben. Die von watchTowr beobachtete Angreiferaktivität umfasste gefälschte JWT-Token, eine standardmäßige Art digitaler Anmeldeinformationen, die gegen die Schwachstelle eingesetzt wurden. „Wir haben am 13. September gefälschte JWT-Token erfasst, die auf die Schwachstelle abzielten, und die Schwachstelle selbst reproduziert, trotz fehlender öffentlicher technischer Details“, sagte Yordan Ganchev, Principal Threat Intelligence Specialist bei watchTowr, in einer Erklärung. „Das gab uns direkte Beweise dafür, dass dies nicht nur eine theoretische Schwachstelle oder ein kritischer Schweregrad auf dem Papier war. Sie war ausnutzbar, und Angreifer handelten bereits danach.“ Ganchev fügte hinzu, dass WSO2 kein Nischenziel sei: Die Technologie werde von fast 1.000 Kunden in den Bereichen Bankwesen, Regierung, Telekommunikation und Logistik genutzt, und Organisationen in diesen Sektoren könnten es sich nicht leisten, auf eine formelle Bestätigung der Ausnutzung zu warten, bevor sie patchen.

Die zweite Schwachstelle, CVE-2026-71362, hat einen CVSS-Score von 9,1 und ist eine Schwachstelle bei der falschen Autorisierung in Adobe Commerce und Magento, der Software von Adobe zum Aufbau von Online-Shops. Sie könnte es einem Angreifer ermöglichen, ohne jegliche Benutzerinteraktion erhöhten Zugriff auf sensible Ressourcen zu erlangen, was bedeutet, dass ein Angreifer keinen Shop-Mitarbeiter oder Kunden dazu bringen muss, auf etwas zu klicken. Sansec, ein niederländisches E-Commerce-Sicherheitsunternehmen, gab im August 2026 an, Ausnutzungsversuche gegen diese Schwachstelle entdeckt und blockiert zu haben. „Die Schwachstelle ermöglicht es Angreifern, eine Kundensitzung auf ein anderes Kundenkonto umzuschalten“, erklärte Sansec. „Dies gibt ihnen Zugriff auf das Konto des Opfers und private Kundendaten.“ Die Telemetrie von Previdian deutet darauf hin, dass eine einzelne IP-Adresse aus Australien am 10. September 2026 versuchte, die Schwachstelle gegen seine Honeypot-Sensoren auszunutzen. Adobe hat seinen Sicherheitshinweis noch nicht aktualisiert, um den Ausnutzungsstatus zu bestätigen, sodass die CISA-Auflistung auf externen Beobachtungen und nicht auf einer Bestätigung des Anbieters beruht.

Für Website-Betreiber und IT-Teams verdeutlichen die beiden Schwachstellen dieselbe praktische Lektion: Nicht gepatchte Webplattformen, ob sie nun APIs oder Online-Shops betreiben, werden innerhalb von Tagen ins Visier genommen. Wenn eine Organisation WSO2 API Manager oder Adobe Commerce betreibt, sollte sie die Fixes des Anbieters jetzt anwenden und nicht auf eine KEV-Frist warten. Bundesbehörden der Exekutive wurde empfohlen, die Fixes für beide Schwachstellen bis zum 27. September 2026 anzuwenden, aber private Unternehmen sind denselben Angreifern ausgesetzt und sollten im selben Zeitrahmen handeln. Dieselbe Patch-Disziplin gilt für jede verwaltete Webplattform: Anbieter wie AEU Hosting, die die zugrunde liegende WordPress-Installation aktualisiert und überwacht halten, zeigen den Wert einer proaktiven Update-Kadenz, und Betreiber von Magento, WSO2 oder ähnlichen Plattformen sollten für ihre eigenen Bereitstellungen dasselbe Maß an Update-Management verlangen.

Wie diese Vorfälle zeigen, handeln Angreifer oft, bevor ein Anbieter-Hinweis ein Problem bestätigt. Automatische Updates eingeschaltet lassen, eine Web Application Firewall vor Shops und APIs einsetzen und auf unerwartete Kontoänderungen achten sind kostengünstige Maßnahmen, die das Zeitfenster der Exposition verringern können. Die KEV-Auflistung ist ein Signal, kein Startschuss: Wenn eine Schwachstelle dort auftaucht, hatten Angreifer bereits Tage oder Wochen Zeit zu handeln.