CISA hat am 25. September 2026 vier Schwachstellen in den Katalog der Known Exploited Vulnerabilities aufgenommen – darunter zwei kritische Lücken in WSO2 und Adobe Commerce, die bereits aktiv ausgenutzt werden. Die Frist für US-Bundesbehörden, die betroffenen Produkte zu patchen oder abzuschalten, läuft am 27. September ab. (BleepingComputer, 25.09.2026)

Für einen Betrieb mit zehn bis hundert Mitarbeitern betrifft das konkret: Wer WSO2 API Manager als Middleware für interne Schnittstellen nutzt, Adobe Commerce oder Magento für den Online-Shop betreibt, SharePoint für die Dokumentenablage einsetzt oder Mikrotik-Router im Netz stehen hat – alle vier sind betroffen. Im schlechtesten Fall bedeutet das bei WSO2 die vollständige Übernahme administrativer Konten, bei Adobe Commerce den Zugriff ohne jedes Konto und ohne Administratorrechte, bei SharePoint eine Code-Injection in die Anwendung.

Die technische Einordnung

Die kritischste Lücke ist CVE-2026-5430 in WSO2-Produkten. Sie betrifft API Manager Versionen 4.1.0 bis 4.6.0 sowie API Control Plane, Traffic Manager und Universal Gateway in den Versionen 4.5.0 und 4.6.0. Die Ursache liegt im JWT-Authentifizierungsmechanismus: Er akzeptiert Tokens, die mit einem nicht unterstützten Algorithmus signiert sind. WSO2 selbst warnt in seinem Advisory vom 3. Mai, dass ein erfolgreicher Angreifer administrative Konten kompromittieren und die volle Kontrolle übernehmen kann.

Die Sicherheitsfirma watchTowr meldete am 15. September, dass ihre Honeypots Ausnutzungsversuche aufgefangen haben. Am 13. September kamen aus einer IP-Adresse eine begrenzte Anzahl an Versuchen mit gefälschten JWT-Tokens – allerdings gegen das falsche WSO2-Produkt. watchTowr konnte den Angriff auf dem korrekten Produkt reproduzieren: Ein gefälschtes Token reichte, um API-Endpunkte und Anwendungs-Credentials freizulegen. Yordan Ganchev, Threat-Intelligence-Spezialist bei watchTowr, merkt an, dass WSO2 kein Nischenthema sei: Die Technologie werde von nahezu 1.000 Kunden in Banken, Behörden, Telekommunikation und Logistik eingesetzt.

Die zweite kritische Lücke, CVE-2026-71362, betrifft Adobe Commerce und Magento. Es handelt sich um eine fehlerhafte Autorisierung: Laut Sansec benötigen die Angreifer weder ein bestehendes Konto, noch Administratorrechte, noch eine Benutzerinteraktion. Die weiteren beiden Einträge im KEV-Katalog: CVE-2026-65660, eine Code-Injection von hoher Schwere in Microsoft SharePoint, und CVE-2026-67279, ein Pre-Auth-SSH-State-Machine-Bypass von mittlerer Schwere in Mikrotik RouterOS. Für beide gilt die Patch-Frist am 28. September.

Eine Anmerkung zur Quellenlage: Während BleepingComputer und Privacy Needle die aktive Ausnutzung durch watchTowr und Sansec belegen, stellt OffSeq in seiner automatisierten Zusammenfassung fest, es lägen keine bekannten Exploits in der wild vor und der Patch-Status sei noch nicht bestätigt. Das widerspricht den konkreten Beobachtungen der Security-Firmen. Wer hier eine Entscheidung treffen muss, sollte auf die Primärbeobachtungen von watchTowr und Sansec vertrauen.

Was jetzt zu tun ist

1. WSO2-Installation prüfen und patchen: In der WSO2-Verwaltungsoberfläche oder im Deployment-Log die laufende Version von API Manager, API Control Plane, Traffic Manager und Universal Gateway ablesen. Läuft eine Version aus dem betroffenen Bereich (API Manager 4.1.0–4.6.0, die anderen 4.5.0/4.6.0), das Update von WSO2 einspielen. Bis der Patch drin ist, den JWT-Authentifizierungspfad über die Firewall einschränken.
2. Adobe Commerce / Magento aktualisieren: Den Patch für CVE-2026-71362 aus dem Adobe-Support-Bereich beziehen und installieren. Sansec bestätigt aktive Ausnutzung ohne jegliche Voraussetzungen – hier zählt der Tag, nicht die Woche.
3. SharePoint und Mikrotik-Router abdecken: Für CVE-2026-65660 das Microsoft Security Update einspielen. Bei Mikrotik RouterOS (CVE-2026-67279) den SSH-Zugriff auf den Router bis zum Patch temporär auf das administrative Netz einschränken – der Bypass erfolgt pre-auth, also noch vor der Anmeldung.

Vier Lücken gleichzeitig, zwei davon kritisch und aktiv ausgenutzt – das ist kein Szenario, das man auf die nächste Wartungsrunde schiebt. Und das Ärgerliche bei WSO2: Die Schwachstelle war seit dem 3. Mai im Advisory des Herstellers vermerkt, und erst im September taucht sie im KEV-Katalog auf. Wer jetzt unsicher ist, ob die eigene Version betroffen ist oder der Patch sauber sitzt, hat damit schon die richtige Frage gestellt. Wenn Sie das einmal durchchecken lassen möchten, erreichen Sie uns hier – wir schauen uns WSO2-Instanzen, Commerce-Plattformen und SharePoint-Umgebungen gerne konkret an.

Beitragsbild: panumas nikhomkhai auf Pexels