==============================================================================
  CISA AGREGA FALLAS ACTIVAS DE WSO2 Y ADOBE COMMERCE
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cisa-agrega-fallas-activas-wso2-adobe-commerce-kev
  Publicado:   2026-09-29  (hora de Chile)
  Ambito:      global   ·   Criticidad: alta
  Descargado:  2026-10-12 06:59  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de acceso web/proxy o WAF frente a instancias de WSO2 API Manager
  · Logs de acceso web al panel de administración de Adobe Commerce/Magento
  · Logs de aplicación de Adobe Commerce (altas y modificaciones de usuarios administradores)

==============================================================================
  REGLA 1 de 5   ·   SIGMA (canonica, neutral)
  Posible path traversal contra endpoints de administración de WSO2 (CVE-2026-5430)
==============================================================================
  Requiere: logsource webserver con campo cs-uri-stem (formato W3C extended log). Adaptar el nombre del campo si el proxy usa otra convención.

title: Posible path traversal contra WSO2 API Manager
id: a3f1c9e2-6b7d-4e21-9a3f-2d8c5b7e91f4
status: experimental
description: Detecta patrones de path traversal en solicitudes HTTP dirigidas a rutas de administración de WSO2, consistente con la explotación activa de CVE-2026-5430 reportada por CISA. El payload exacto del exploit no es público; esta regla caza el patrón genérico de la clase de falla.
logsource:
  category: webserver
detection:
  selection_path:
    cs-uri-stem|contains:
      - '../'
      - '..%2f'
      - '%2e%2e%2f'
      - '..\\'
  selection_target:
    cs-uri-stem|contains:
      - '/carbon/'
      - '/api/am/'
      - '/management/'
      - '/services/'
  condition: selection_path and selection_target
falsepositives:
  - Escaneos de seguridad autorizados (pentest, gestión de superficie de ataque)
  - Proxies que normalizan URLs y registran secuencias similares sin explotación real
level: high

==============================================================================
  REGLA 2 de 5   ·   SIGMA (canonica, neutral)
  Alta de usuario administrador en Adobe Commerce/Magento vía ruta admin/user/save
==============================================================================
  Requiere: logsource webserver con campos cs-uri-stem y cs-method. Correlacionar el hit con el registro de altas autorizadas de TI para descartar falsos positivos.

title: Alta de administrador en Adobe Commerce/Magento
id: d7b2a419-3f6c-4a08-8e1d-5c9f2b6a7d31
status: experimental
description: Detecta solicitudes POST a la ruta estándar de Magento para guardar usuarios administradores, útil para detectar escalamiento de privilegios si CVE-2026-71362 se explota para crear una cuenta admin no autorizada. No es un IOC del exploit en sí, sino del efecto esperable.
logsource:
  category: webserver
detection:
  selection_save:
    cs-uri-stem|contains: 'admin/user/save'
    cs-method: 'POST'
  condition: selection_save
falsepositives:
  - Alta legítima de administradores por el equipo de TI o una agencia externa
level: medium

==============================================================================
  REGLA 3 de 5   ·   SPLUNK - SPL
  Path traversal contra WSO2 (SPL)
==============================================================================
  Requiere: index=proxy con campos uri_path, src_ip, dest provenientes del log del reverse proxy o WAF frente a WSO2.

index=proxy (uri_path="*../*" OR uri_path="*..%2f*" OR uri_path="*%2e%2e%2f*") uri_path IN ("*/carbon/*", "*/api/am/*", "*/management/*", "*/services/*")
| stats count by src_ip, uri_path, dest
| where count > 3

==============================================================================
  REGLA 4 de 5   ·   ELASTIC
  Path traversal contra WSO2 (EQL)
==============================================================================
  Requiere: Índice de logs de red/web con campo url.path mapeado (ECS estándar). Ajustar maxspan según volumen de tráfico.

sequence by source.ip with maxspan=5m
  [network where url.path : ("*../*", "*..%2f*", "*%2e%2e%2f*") and url.path : ("*/carbon/*", "*/api/am/*", "*/management/*", "*/services/*")]

==============================================================================
  REGLA 5 de 5   ·   WAZUH / VERIFICACION EN HOST
  Path traversal y alta de admin en Magento (regla local)
==============================================================================
  Requiere: Decodificador de logs web (Apache/Nginx) activo en el agente Wazuh frente a las instancias WSO2/Magento, con if_group web-log.

<rule id="100610" level="12">
  <if_group>web-log</if_group>
  <regex>(\.\.\/|%2e%2e%2f|\.\.%2f)</regex>
  <regex>(carbon|api/am|management|services)</regex>
  <description>Posible path traversal contra WSO2 API Manager (CVE-2026-5430)</description>
</rule>
<rule id="100611" level="10">
  <if_group>web-log</if_group>
  <regex type="pcre2">admin/user/save</regex>
  <field name="http_method">POST</field>
  <description>Alta de usuario administrador en Adobe Commerce/Magento</description>
</rule>

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  La regla de path traversal generará ruido en organizaciones con escaneos
  de seguridad autorizados (pentest, gestión de superficie de ataque)
  frecuentes contra las mismas rutas; correlacionar con el calendario de
  escaneos internos antes de escalar. La regla de alta de administrador en
  Magento generará falsos positivos normales si la organización delega la
  gestión del backend a una agencia externa con rotación de accesos; en ese
  caso, correlacionar con el registro de cambios autorizados por TI antes de
  tratarlo como incidente.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================