Falha CVSS 10 no WSO2 API Manager é explorada ativamente

A CISA incluiu no catálogo Known Exploited Vulnerabilities (KEV) duas falhas críticas com exploração ativa confirmada: CVE-2026-5430, no WSO2 API Manager e produtos relacionados, com CVSS 10.0, e CVE-2026-71362, no Adobe Commerce e Magento Open Source, com CVSS 9.1. A adição ocorreu em 24 de setembro, e o prazo federal para correção nos EUA é 27 de setembro.

O que aconteceu

A CVE-2026-5430 está no mecanismo de autenticação JWT do WSO2 API Manager: o sistema aceita tokens assinados com algoritmos diferentes dos configurados como suportados, e essa verificação incorreta (CWE-347, falha na verificação de assinatura criptográfica) permite forjar um token e obter acesso não autorizado, incluindo contas administrativas. A empresa de segurança WatchTowr registrou tentativas de exploração em honeypots desde 13 de setembro.

A CVE-2026-71362 é uma falha de autorização incorreta no Adobe Commerce e no Magento: um atacante não autenticado consegue trocar a sessão de um cliente pela de outro, herdando o acesso à conta da vítima. A Sansec já bloqueava tentativas de exploração em agosto, logo após a divulgação pública da falha, e telemetria da Previdian registrou uma tentativa a partir de um IP australiano em 10 de setembro.

Quem é afetado

WSO2, com correção disponível desde maio:

• API Manager, versões 4.1.0 a 4.6.0
• API Control Plane, séries 4.5.0 e 4.6.0
• Traffic Manager, séries 4.5.0 e 4.6.0
• Universal Gateway, séries 4.5.0 e 4.6.0
• Carbon API Manager REST API Utility, em múltiplas faixas de versão

Adobe, com correção disponível desde agosto:

• Adobe Commerce, versões 2.4.4 a 2.4.9
• Adobe Commerce B2B, versões 1.3.3 a 1.5.3
• Magento Open Source, versões 2.4.6 a 2.4.9

O que fazer agora

Para o WSO2, aplique o nível de atualização correspondente à sua série: API Manager 4.6.0 precisa do Update 21, a série 4.5.0 do Update 57, e a série 4.1.0 do Update 257 — a atualização é feita pelo WSO2 Updates ou migrando para a versão já corrigida. Para o Adobe Commerce e o Magento, instale o pacote de segurança de agosto de 2026 (identificado como “-2026-aug” nas notas de versão do boletim APSB26-92).

Depois de aplicar a correção, revise logs em busca de indício de comprometimento anterior ao patch: no WSO2, tokens JWT com algoritmo de assinatura fora do padrão configurado; no Adobe Commerce, trocas de sessão entre contas de cliente sem autenticação correspondente. Corrigir sem checar esse histórico deixa uma eventual invasão anterior sem resposta.

Prazo

A Binding Operational Directive 22-01 obriga agências federais civis dos EUA a corrigir as duas falhas até 27 de setembro de 2026. A exigência vale só para o governo americano, mas a inclusão no KEV é, na prática, confirmação de que os dois CVEs já são usados em ataques reais — motivo suficiente para qualquer operador de WSO2 API Manager ou Adobe Commerce tratar o mesmo prazo como próprio.

Perguntas frequentes

Preciso corrigir mesmo não sendo agência federal?
Sim. A CISA recomenda a todas as organizações, e a exploração já foi documentada por terceiros independentes (WatchTowr e Sansec), não só pelos fabricantes.

A falha do WSO2 exige alguma configuração específica para ser explorável?
Não é preciso configuração incomum: basta o sistema aceitar validação de token JWT com o mecanismo afetado ativo, o que é o padrão na maioria das instalações do API Manager.

Existe mitigação temporária além do patch?
Os boletins oficiais do WSO2 e da Adobe não listam mitigação alternativa — a recomendação de ambos os fabricantes é aplicar a atualização diretamente.

Conclusão

São dois patches disponíveis há meses — maio para o WSO2, agosto para o Adobe Commerce — que só agora, com exploração ativa confirmada, ganharam prazo oficial de correção. Quem ainda não atualizou tem até o fim da semana antes de esse prazo se tornar só um número em um catálogo que ninguém seguiu.