米CISA、WSO2およびAdobe Commerceの深刻な脆弱性を悪用確認リストに追加　攻撃の観測受け対策を要請

要点

• 米CISAが、WSO2製品およびAdobe Commerce / Magentoに影響を及ぼす2件の重大な脆弱性をKEVカタログに追加した。

• WSO2の脆弱性（CVE-2026-5430、CVSS 9.8）はパストラバーサルに起因し、無制限のファイルアップロードからリモートコード実行を許す恐れがある。

• Adobe Commerce / Magentoの脆弱性（CVE-2026-71362、CVSS 9.1）は認可の不備によるもので、顧客アカウントの不正切り替えや機密データの漏えいにつながる。

• 双方ともにハニーポットなどで現実世界での悪用試行が観測されており、米連邦機関に対して2026年9月27日までの修正適用が指示されている。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年9月24日、WSO2製品およびAdobe Commerce / Magentoに存在する2件の深刻な脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加したと発表した。実際のサイバー攻撃においてこれらを悪用した試みが確認されたことを受けた措置だという。米国の連邦文民行政府（FCEB）機関に対しては、ネットワークの安全を確保するため早期の修正プログラム適用が呼びかけられている。

悪用確認を受けたKEVカタログへの追加

CISAが管理するKEV（Known Exploited Vulnerabilities）カタログは、実際の環境において攻撃者による悪用が確認された脆弱性を集約し、組織に対策を促すための公式リストである。今回追加されたのは、API管理製品などを手掛けるWSO2のソフトウェアに関する脆弱性と、ECサイト構築プラットフォームであるAdobe CommerceおよびMagentoに関する脆弱性の計2件となる。

いずれも共通脆弱性評価システム（CVSS）の基本値において9.0を超える極めて高いスコアが算出されており、第三者による悪用が深刻な被害をもたらす危険性があると評価されている。

WSO2製品におけるリモートコード実行の脆弱性（CVE-2026-5430）

WSO2のソフトウェアに影響を与える脆弱性「CVE-2026-5430」は、CVSSスコアが9.8と極めて高い危険度を示している。影響を受ける対象は、WSO2 API Control Plane、API Manager、Traffic Manager、Universal Gatewayといった同社の主要なAPI管理・連携ソリューション群である。

この脆弱性は、パストラバーサル（システム内の制限された領域を越えて不正なファイルパスへアクセスする手法）に起因するものだという。悪用された場合、制限のないファイルアップロードが可能となり、最終的には外部から任意のコードを不正に実行される（リモートコード実行）危険性がある。

セキュリティ企業watchTowrの報告によると、少なくとも2026年9月13日以降、同社が設置したハニーポット（攻撃者を誘引して行動を分析するおとりシステム）を標的とした悪用試行が観測されていた。CISAによるKEVへの追加は、この観測報告から約1週間余りを経て行われた形となる。

Adobe Commerce / Magentoにおけるアカウント乗っ取りの欠陥（CVE-2026-71362）

もう一方の「CVE-2026-71362」は、Adobe CommerceおよびMagentoに存在する不適切な認可の脆弱性で、CVSSスコアは9.1とされている。この欠陥により、攻撃者は標的となるユーザーの操作を介することなく、機密リソースに対する昇格されたアクセス権限を取得できるという。

オランダのeコマースセキュリティ企業Sansecは2026年8月の時点で、この欠陥を標的とした攻撃の試みを検知・遮断したことを報告していた。同社は「この脆弱性を突くことで、攻撃者はある顧客のセッションを別の顧客のアカウントへと切り替えることが可能になる」と説明しており、被害者のアカウントや非公開の顧客データが外部から閲覧・操作される危険性を指摘している。

また、セキュリティ企業Previdianのテレメトリ（遠隔監視データ）によれば、2026年9月10日にオーストラリアの単一IPアドレスから、同社のハニーポットセンサーを対象とした悪用試行が確認されている。なお、現時点でAdobe自身は悪用が進行している状況を確認するセキュリティアドバイザリの更新を行っていないと報じられている。

連邦機関に対する修正適用勧告

CISAは、現在進行中のアクティブな脅威から自組織のネットワークを守るため、連邦文民行政府（FCEB）機関に対し、2026年9月27日までに両脆弱性に対するセキュリティ修正を適用するよう勧告を出した。攻撃の試行がすでに複数の観測網で捉えられていることから、各組織において迅速な確認と対処が求められる状況となっている。