CISA agrega fallas activas de WSO2 y Adobe Commerce

Ambas figuran ya en el catálogo KEV por explotación confirmada. Es la segunda falla de WSO2 API Manager y la tercera del ecosistema Magento/Adobe Commerce reportadas activas en lo que va de septiembre.

Qué pasó

CISA agregó dos entradas nuevas a su catálogo KEV el 24 de septiembre de 2026, basado en evidencia de explotación activa:

• CVE-2026-5430 — Path traversal en múltiples productos WSO2, incluido API Manager.
• CVE-2026-71362 — Autorización incorrecta en Adobe Commerce y Magento.

La fuente no publica detalles técnicos del vector de explotación ni indicadores de compromiso; solo confirma que hay explotación en curso y exige remediación a agencias del ejecutivo civil federal de Estados Unidos (FCEB) bajo la Binding Operational Directive 26-04. Esa directiva no aplica fuera del gobierno federal estadounidense, pero funciona como la señal pública más confiable de qué se está explotando en este momento — y ambas fallas están en productos con despliegue masivo fuera de ese ámbito.

Por qué importa acá

Ninguna de las dos vulnerabilidades tiene, hasta donde pudimos verificar, una víctima chilena confirmada ni una alerta de ANCI asociada — por eso esta pieza es de ámbito global y no forzamos una bajada local que no existe.

Dicho eso, el riesgo de exposición es real para el mercado chileno:

• Evaluación (confianza media): Adobe Commerce/Magento es una de las plataformas más usadas por retailers medianos y grandes para operar tiendas online en Chile y la región. No tenemos un catastro público que lo cuantifique para el mercado local específicamente, así que esto es una inferencia de exposición, no un incidente confirmado.
• Evaluación (confianza media): WSO2 API Manager es un producto de puerta de enlace de APIs frecuente en integraciones bancarias y de telecomunicaciones en Latinoamérica. La alternativa que no podemos descartar es que la adopción local sea menor de lo que asumimos por experiencia de consultoría previa.

Si una organización chilena calificada como OIV bajo la Ley 21.663 sufre un incidente a raíz de cualquiera de estas dos fallas, el deber de reportar a ANCI aplica igual que para cualquier otro incidente significativo — no citamos plazos específicos porque no los verificamos para este caso puntual.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — Ambas fallas —path traversal en WSO2 y autorización incorrecta en Adobe Commerce— son explotables contra la aplicación expuesta a internet, sin necesidad de acceso previo.
• T1068 — Una falla de autorización incorrecta en Adobe Commerce/Magento es, por definición, un vector de escalamiento: permite que una sesión sin privilegios de administrador ejecute acciones que debieran estar restringidas.
• T1005 — Un path traversal exitoso en WSO2 puede exponer archivos de configuración con credenciales o secretos locales. Esto es hipótesis razonable dado el tipo de falla, no un detalle confirmado por la fuente.

CVE-2026-5430
CVE-2026-71362

title: Posible path traversal contra WSO2 API Manager
id: a3f1c9e2-6b7d-4e21-9a3f-2d8c5b7e91f4
status: experimental
description: Detecta patrones de path traversal en solicitudes HTTP dirigidas a rutas de administración de WSO2, consistente con la explotación activa de CVE-2026-5430 reportada por CISA. El payload exacto del exploit no es público; esta regla caza el patrón genérico de la clase de falla.
logsource:
  category: webserver
detection:
  selection_path:
    cs-uri-stem|contains:
      - '../'
      - '..%2f'
      - '%2e%2e%2f'
      - '..\\'
  selection_target:
    cs-uri-stem|contains:
      - '/carbon/'
      - '/api/am/'
      - '/management/'
      - '/services/'
  condition: selection_path and selection_target
falsepositives:
  - Escaneos de seguridad autorizados (pentest, gestión de superficie de ataque)
  - Proxies que normalizan URLs y registran secuencias similares sin explotación real
level: high

title: Alta de administrador en Adobe Commerce/Magento
id: d7b2a419-3f6c-4a08-8e1d-5c9f2b6a7d31
status: experimental
description: Detecta solicitudes POST a la ruta estándar de Magento para guardar usuarios administradores, útil para detectar escalamiento de privilegios si CVE-2026-71362 se explota para crear una cuenta admin no autorizada. No es un IOC del exploit en sí, sino del efecto esperable.
logsource:
  category: webserver
detection:
  selection_save:
    cs-uri-stem|contains: 'admin/user/save'
    cs-method: 'POST'
  condition: selection_save
falsepositives:
  - Alta legítima de administradores por el equipo de TI o una agencia externa
level: medium

index=proxy (uri_path="*../*" OR uri_path="*..%2f*" OR uri_path="*%2e%2e%2f*") uri_path IN ("*/carbon/*", "*/api/am/*", "*/management/*", "*/services/*")
| stats count by src_ip, uri_path, dest
| where count > 3

sequence by source.ip with maxspan=5m
  [network where url.path : ("*../*", "*..%2f*", "*%2e%2e%2f*") and url.path : ("*/carbon/*", "*/api/am/*", "*/management/*", "*/services/*")]

<rule id="100610" level="12">
  <if_group>web-log</if_group>
  <regex>(\.\.\/|%2e%2e%2f|\.\.%2f)</regex>
  <regex>(carbon|api/am|management|services)</regex>
  <description>Posible path traversal contra WSO2 API Manager (CVE-2026-5430)</description>
</rule>
<rule id="100611" level="10">
  <if_group>web-log</if_group>
  <regex type="pcre2">admin/user/save</regex>
  <field name="http_method">POST</field>
  <description>Alta de usuario administrador en Adobe Commerce/Magento</description>
</rule>

Fuentes

• CISACISA Adds Two Known Exploited Vulnerabilities to Catalog · 2026-09-24
• The Hacker NewsWSO2 and Adobe Commerce Flaws Exploited in Attacks, Added to CISA KEV · 2026-09-25
• The Hacker NewsActive Exploitation Attempts Target WSO2 API Manager JWT Bypass With Forged Admin Tokens · 2026-09-16
• The Hacker NewsAdobe Patches Magento Zero-Day Exploited to Deploy Rust Backdoor and PHP Web Shell · 2026-09-08
• Segu-InfoStyleSmuggler: explotación activa de vulnerabilidad en Magento · 2026-09-06

Relacionado