米CISA、「Adobe Commerce」「WSO2」の脆弱性悪用を警告

米当局は、AdobeのECプラットフォームやWSO2のAPI管理プラットフォームの脆弱性が悪用されているとして注意喚起を行った。米行政機関に対し、侵害状況の確認も含めて早急に対応するよう求めている。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）が現地時間2026年9月24日、「悪用が確認された脆弱性カタログ（KEV）」へ2件の脆弱性を追加した。

「CVE-2026-71362」は、eコマースサイトの構築、運営などに活用されている「Adobe Commerce」やオープンソースの「Magento」に判明した認可不備の脆弱性。権限の昇格が可能となる。Adobeでは現地時間2026年8月11日にセキュリティアドバイザリを公開。30日以内を目安としてアップデートを実施するよう求めていた。

一方「CVE-2026-5430」は、WSO2が提供するAPIプラットフォームに確認された脆弱性。「WSO2 API Manager」をはじめ、「WSO2 API Control Plane」「WSO2 Traffic Manager」「WSO2 Universal Gateway」が影響を受ける。

「JWT認証」のバイパスが可能で、管理者アカウントが乗っ取ることが可能。任意のファイルをアップロードされ、リモートよりコードを実行されるおそれがある。WSO2では現地時間5月3日にアドバイザリを公開し、利用者に注意喚起を行っていた。

脆弱性の悪用が判明したことを受け、同庁は米行政機関に対して、3日後の2026年9月27日を期限とし、アップデートといった脆弱性への対応にくわえて、侵害状況の確認なども含め、対策を講じるよう求めている。

（Security NEXT - 2026/09/25 ）ツイート

米CISA、「Adobe Commerce」「WSO2」の脆弱性悪用を警告

関連リンク

PR

関連記事