CISA warns of Sharepoint, WSO2, Adobe Commerce flaws exploited in attacks
BleepingComputer · 25 sept, 19:24
Qué hacer: Actualiza WSO2 API Manager a una versión posterior a 4.6.0 y Adobe Commerce a la versión recomendada por el proveedor; aplica los parches para SharePoint y RouterOS antes del 28 de septiembre.
La agencia de ciberseguridad estadounidense CISA advierte que piratas informáticos están explotando activamente cuatro vulnerabilidades críticas en productos de empresas como WSO2, Adobe Commerce, Microsoft SharePoint y Mikrotik RouterOS. Las dos vulnerabilidades más graves, CVE-2026-5430 (un bypass de autenticación en WSO2) y CVE-2026-71362 (un fallo de autorización en Adobe Commerce), han sido añadidas al catálogo de vulnerabilidades explotadas conocidas (KEV) y requieren acción inmediata de agencias federales antes del 27 de septiembre. Los ataques ya han sido confirmados por investigadores de seguridad, con intentos documentados usando tokens JWT forjados.
CVE-2026-5430 afecta a WSO2 API Manager versiones 4.1.0 a 4.6.0, API Control Plane, Traffic Manager y Universal Gateway versiones 4.5.0 y 4.6.0. El fallo reside en el mecanismo de autenticación JWT que acepta tokens firmados con algoritmos no soportados, permitiendo a un atacante comprometer cuentas administrativas y obtener control total. La empresa de seguridad watchTowr capturó intentos de explotación el 13 de septiembre usando tokens JWT forjados, aunque inicialmente dirigidos a un producto incorrecto. Al reproducir el ataque en el producto correcto, los investigadores confirmaron que un token forjado podría exponer endpoints de API y credenciales de aplicaciones.
CVE-2026-71362 es un fallo de autorización incorrecta en Adobe Commerce y Magento que requiere "ninguna cuenta existente, privilegios de administrador o interacción del usuario". Sansec, empresa especializada en seguridad de comercio electrónico, observó esta vulnerabilidad siendo explotada en la naturaleza. WSO2 no es un objetivo de nicho: su tecnología es utilizada por casi 1.000 clientes en sectores de banca, gobierno, telecomunicaciones y logística. Las agencias federales tienen hasta el 27 de septiembre para las vulnerabilidades críticas y hasta el 28 de septiembre para los fallos de Microsoft SharePoint y Mikrotik RouterOS.
Puntos clave
- CVE-2026-5430: bypass de autenticación JWT en WSO2, versiones 4.1.0 a 4.6.0 afectadas
- CVE-2026-71362: autorización incorrecta en Adobe Commerce, explotación activa confirmada sin requerimientos previos
- Plazo para agencias federales: 27 de septiembre para vulnerabilidades críticas, 28 de septiembre para otros fallos
- watchTowr confirmó intentos de explotación con tokens JWT forjados el 13 de septiembre
- WSO2 utilizado por ~1.000 clientes en banca, gobierno, telecomunicaciones y logística