أدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأميركية (CISA) يوم الخميس 24 سبتمبر 2026 ثغرتين أمنيتين حرجتين تؤثران في منتجات WSO2 وAdobe Commerce وMagento ضمن كتالوج الثغرات المعروفة المستغلة (KEV). وجاء هذا الإجراء استناداً إلى أدلة مؤكدة تثبت وجود استغلال نشط لهذه الثغرات، ما دفع الوكالة إلى تحديد مهلة زمنية تنتهي في 27 سبتمبر 2026 لإلزام وكالات الفرع التنفيذي المدني الفيدرالي (FCEB) بتطبيق التحديثات والإصلاحات الأمنية اللازمة.
آليات الاستغلال ومستويات الخطورة
تحمل الثغرة الأولى المعرف (CVE-2026-5430 بتقييم CVSS عند 9.8)، وقد أدرجتها الوكالة كثغرة اجتياز مسار تؤثر في عدة واجهات لمنتجات WSO2، وتحديداً API Control Plane وAPI Manager وTraffic Manager وUniversal Gateway. تسمح هذه الثغرة برفع ملفات بشكل غير مقيد، مما يؤدي في النهاية إلى تنفيذ تعليمات برمجية عن بُعد.
في المقابل، تحمل الثغرة الثانية المعرف (CVE-2026-71362 بتقييم CVSS عند 9.1)، وتتمثل في تفويض غير صحيح ضمن منصتي Adobe Commerce وMagento. وتكمن خطورتها في منح المهاجم وصولاً متقدماً إلى موارد حساسة في النظام دون الحاجة إلى أي تفاعل المستخدم الضحية.
تتبع النشاط الهجومي
جاء إدراج الثغرة الأولى بعد نحو أسبوع من إعلان شركة watchTowr عن رصدها محاولات استغلال استهدفت مصائد البيانات التابعة لها منذ 13 سبتمبر 2026. وفيما يخص الثغرة الثانية، أكدت شركة Sansec المتخصصة في أمن التجارة الإلكترونية تمكنها من اكتشاف وإحباط محاولات استغلال فعلية خلال شهر أغسطس 2026، موضحة أن الثغرة تتيح للمهاجمين تبديل جلسة عميل إلى حساب آخر يمنحهم صلاحية الوصول إلى بيانات العملاء الخاصة.
وفي سياق متصل، أظهرت بيانات القياس عن بُعد لشركة Previdian محاولة استغلال ضد مستشعراتها في 10 سبتمبر 2026، نُفذت عبر عنوان IP متمركز في أستراليا.
ورغم هذه الأدلة، لم تُحدِّث شركة Adobe استشارتها الأمنية لتأكيد حدوث استغلال نشط.
