הפגיעויות ב-WSO2 וב-Adobe Commerce נוצלו בתקיפות והוכנסו לקטלוג KEV של CISA

סוכנות האבטחה הקיברנטית והגנת התשתיות של ארצות הברית (CISA) הוסיפה ביום חמישי שתי פגיעויות קריטיות המשפיעות על WSO2 ועל Adobe Commerce ו-Magento לקטלוג הפגיעויות המנוצלות הידועות (KEV), בעקבות ראיות לניצול פעיל.

פגיעות מעבר הנתיב ב-WSO2

הרשומה הראשונה, CVE-2026-5430, קיבלה ציון 9.8 בסולם CVSS. מדובר בפגיעות מעבר נתיב (path traversal) ב-WSO2 API Control Plane, API Manager, Traffic Manager ו-Universal Gateway, שעשויה לאפשר העלאת קבצים ללא הגבלה ולהוביל להרצת קוד מרחוק. ההוספה לקטלוג באה קצת יותר משבוע לאחר שחברת האבטחה watchTowr דיווחה שהיא רואה ניסיונות ניצול בסביבה האמיתית נגד אתרי honeypot שלה לפחות מאז 13 בספטמבר.

השתלטות על חשבונות ב-Adobe Commerce

הפגיעות השנייה, CVE-2026-71362, קיבלה ציון 9.1. מדובר בשגיאת הרשאה ב-Adobe Commerce ו-Magento, שעשויה לאפשר לתוקף לקבל גישה מוגברת למשאבים רגישים בלי כל פעולה מצד המשתמש. חברת אבטחת המסחר האלקטרוני ההולנדית Sansec דיווחה באוגוסט 2026 כי זיהתה וחסמה ניסיונות ניצול. “הפגיעות מאפשרת לתוקפים להעביר סשן של לקוח לחשבון של לקוח אחר,” מסרה Sansec. “הדבר נותן להם גישה לחשבון של הקורבן ולנתוני לקוחות פרטיים.” הטלמטריה של Previdian מראה שכתובת IP בודדת מאוסטרליה ניסתה לנצל את הפגיעות נגד חיישני ה-honeypot שלה ב-10 בספטמבר 2026. Adobe טרם עדכנה את ההודעה שלה כדי לאשר את מצב הניצול.

מה המשמעות של הוספה ל-KEV

קטלוג KEV הוא רשימת הפגיעויות של ממשלת ארצות הברית שתוקפים משתמשים בהן בקמפיינים אמיתיים. סוכנויות הרשות המבצעת האזרחית הפדרלית (FCEB) מתבקשות להתקין תיקונים לשתי הפגיעויות עד 27 בספטמבר 2026. עבור שאר הארגונים הרשימה היא אות עדיפות: אלה אינן עוד סיכונים תיאורטיים, ומערכות החשופות לאינטרנט שמריצות את המוצרים הפגיעים צריכות להתעדכן באותו לוח זמנים.