WSO2 and Adobe Commerce Flaws Exploited in Attacks, Added to CISA KEV
Mis à jour :
Vulnérabilités critiques exploitées dans WSO2 et Adobe Commerce
La CISA a ajouté deux vulnérabilités critiques au catalogue des vulnérabilités exploitées (KEV) après avoir confirmé leur exploitation active sur le terrain.
Points clés :
- WSO2 : La vulnérabilité est activement exploitée depuis mi-septembre 2026. Des attaquants utilisent des jetons JWT forgés pour cibler les infrastructures bancaires, gouvernementales et de télécommunications.
- Adobe Commerce/Magento : Des tentatives de détournement de session ont été détectées, permettant aux attaquants de prendre le contrôle de comptes clients et d’accéder à des données privées.
- Urgence : Les agences fédérales américaines (FCEB) ont jusqu’au 27 septembre 2026 pour appliquer les correctifs, soulignant le niveau de menace élevé.
Vulnérabilités :
- CVE-2026-5430 (Score CVSS 9.8) : Vulnérabilité de type path traversal affectant WSO2 API Manager et ses dérivés. Elle permet le téléchargement arbitraire de fichiers, pouvant mener à une exécution de code à distance (RCE).
- CVE-2026-71362 (Score CVSS 9.1) : Problème d’autorisation incorrecte dans Adobe Commerce et Magento. Permet à un attaquant de changer de session pour usurper l’identité d’un autre utilisateur sans interaction nécessaire.
Recommandations :
- Mise à jour immédiate : Appliquer sans délai les correctifs de sécurité fournis par les éditeurs pour les versions concernées.
- Surveillance : Inspecter les journaux d’accès à la recherche de jetons suspects ou d’anomalies dans les sessions utilisateurs, signes caractéristiques d’une tentative d’exploitation.