CISA aggiunge le vulnerabilità di WSO2 e Adobe Commerce all'elenco delle vulnerabilità sfruttate

CISA ha aggiunto due vulnerabilità di sicurezza attivamente sfruttate nei prodotti di gestione API WSO2 e in Adobe Commerce/Magento al suo catalogo Known Exploited Vulnerabilities (KEV), ha annunciato giovedì la U.S. Cybersecurity and Infrastructure Security Agency. Il catalogo KEV elenca le vulnerabilità software che le agenzie federali del ramo esecutivo civile devono correggere entro una scadenza prestabilita perché gli attaccanti le stanno già usando in campagne reali. Le due vulnerabilità appena elencate sono CVE-2026-5430 in WSO2 e CVE-2026-71362 in Adobe Commerce e Magento.

CVE-2026-5430 ha un punteggio di gravità CVSS di 9,8 su 10 ed è descritta come una vulnerabilità di path traversal in WSO2 API Control Plane, API Manager, Traffic Manager e Universal Gateway. Il path traversal è un tipo di debolezza che consente a un attaccante di usare richieste appositamente costruite per spostarsi al di fuori delle directory che un'applicazione web dovrebbe permettere, e in questo caso potrebbe consentire il caricamento illimitato di file e portare a remote code execution, il che significa che un attaccante può eseguire i propri comandi sul server interessato. La società di sicurezza watchTowr ha dichiarato di aver osservato tentativi di sfruttamento in the wild contro i suoi honeypot, ovvero sistemi esca allestiti per osservare gli attacchi, almeno dal 13 settembre 2026. L'attività degli attaccanti osservata da watchTowr includeva token JWT falsificati, un tipo standard di credenziale digitale, inviati contro la vulnerabilità. "Abbiamo catturato token JWT falsificati diretti alla vulnerabilità il 13 settembre e abbiamo riprodotto noi stessi la vulnerabilità, nonostante la mancanza di dettagli tecnici pubblici", ha dichiarato Yordan Ganchev, principal threat intelligence specialist di watchTowr. "Questo ci ha dato la prova diretta che non si trattava semplicemente di una vulnerabilità teorica o di un punteggio di gravità critica sulla carta. Era sfruttabile, e gli attaccanti ci stavano già agendo." Ganchev ha aggiunto che WSO2 non è un obiettivo di nicchia: la sua tecnologia è usata da quasi 1.000 clienti nei settori bancario, governativo, delle telecomunicazioni e della logistica, e le organizzazioni di questi settori non possono permettersi di aspettare che lo sfruttamento sia formalmente confermato prima di applicare le patch.

La seconda vulnerabilità, CVE-2026-71362, ha un punteggio CVSS di 9,1 ed è una vulnerabilità di autorizzazione errata in Adobe Commerce e Magento, il software di proprietà di Adobe per creare negozi online. Potrebbe consentire a un attaccante di ottenere accesso elevato a risorse sensibili senza alcuna interazione dell'utente, il che significa che un attaccante non deve indurre un dipendente o un cliente del negozio a cliccare su qualcosa. Sansec, una società olandese di sicurezza per l'e-commerce, ha dichiarato nell'agosto 2026 di aver rilevato e bloccato tentativi di sfruttamento mirati a questa vulnerabilità. "La vulnerabilità consente agli attaccanti di passare dalla sessione di un cliente all'account di un altro cliente", ha spiegato Sansec. "Questo dà loro accesso all'account della vittima e ai dati privati dei clienti." La telemetria di Previdian indica che un singolo indirizzo IP dall'Australia ha tentato di sfruttare la vulnerabilità contro i suoi sensori honeypot il 10 settembre 2026. Adobe deve ancora aggiornare il suo avviso per confermare lo stato di sfruttamento, quindi l'inserimento di CISA si basa su osservazioni esterne piuttosto che su una conferma del fornitore.

Per i proprietari di siti web e i team IT, le due vulnerabilità evidenziano la stessa lezione pratica: le piattaforme web non aggiornate, che alimentino API o vetrine online, vengono prese di mira nel giro di pochi giorni. Se un'organizzazione utilizza WSO2 API Manager o Adobe Commerce, dovrebbe applicare subito le correzioni del fornitore, non aspettare la scadenza KEV. Alle agenzie del ramo esecutivo civile federale è stato consigliato di applicare le correzioni per entrambe le vulnerabilità entro il 27 settembre 2026, ma le aziende private affrontano gli stessi attaccanti e dovrebbero muoversi con la stessa tempistica. La stessa disciplina di patching vale per qualsiasi piattaforma web gestita: fornitori come AEU Hosting, che mantiene aggiornata e monitorata l'installazione WordPress sottostante, dimostrano il valore di una cadenza di aggiornamento proattiva, e i proprietari di Magento, WSO2 o piattaforme simili dovrebbero pretendere lo stesso livello di gestione degli aggiornamenti per le proprie installazioni.

Come mostrano questi incidenti, gli attaccanti spesso agiscono prima che un avviso del fornitore confermi un problema. Mantenere attivi gli aggiornamenti automatici, usare un web application firewall davanti a vetrine e API e monitorare cambiamenti imprevisti degli account sono misure a basso costo che possono ridurre la finestra di esposizione. L'inserimento nel KEV è un segnale, non il colpo di partenza: quando una vulnerabilità compare lì, gli attaccanti hanno già avuto giorni o settimane per agire.