CISA добавила уязвимость Progress Kemp LoadMaster в каталог KEV
Агентство CISA включило критическую уязвимость CVE-2026-8037 в балансировщиках нагрузки Progress Kemp LoadMaster в каталог Known Exploited Vulnerabilities. Проблема получила оценку CVSS 9,6: за последние 41 день KEVIntel зафиксировал 792 попытки эксплуатации с 65 уникальных IP-адресов из 18 стран.
Командная инъекция без учётных данных
CVE-2026-8037 представляет собой командную инъекцию в Progress LoadMaster. По описанию CISA, неаутентифицированный атакующий может использовать неочищенный ввод в нескольких командных конечных точках устройства и выполнить произвольные команды на самом appliance.
Успешная атака не требует действительных учётных данных. Это делает проблему особенно важной для организаций, у которых интерфейсы LoadMaster доступны из сетей, где злоумышленник способен обращаться к уязвимому устройству.
В июне 2026 года watchTowr Labs указала, что причина связана с функцией escape_quotes() в приложении балансировщика. Исследователи описали некорректную обработку пользовательского ввода, которая в итоге открывает путь к командной инъекции.
Наблюдаемая активность и сроки исправления
Канадская компания eSentire сообщала об активных попытках атак на эту уязвимость более месяца назад, хотя на тот момент большинство попыток не достигало цели. Среди адресов, с которых фиксировалась активность, названы 192.42.116[.]58, 192.42.116[.]105 и 146.70.139[.]154.
Телеметрия KEVIntel показывает, что активность наблюдалась из Австралии, Китая, Индонезии, Японии, Польши, США и других стран. Последняя отмеченная активность пришлась на 4 августа 2026 года: тогда зарегистрировали пять попыток эксплуатации.
Контекст угрозы дополняет риск удалённого выполнения кода в LoadMaster, где риск удалённого выполнения кода в LoadMaster уже связывался с необходимостью срочной проверки устройств. Теперь включение CVE-2026-8037 в KEV подтверждает, что вопрос касается не только теоретической уязвимости, но и наблюдаемой эксплуатации.
Что проверить владельцам LoadMaster
CISA рекомендовало федеральным гражданским ведомствам США установить необходимые исправления до 10 августа 2026 года в соответствии с Binding Operational Directive 26-04. Организациям, использующим Progress Kemp LoadMaster, стоит сверить используемые версии с уведомлением поставщика, установить доступные патчи и проверить журналы на подозрительные обращения к командным конечным точкам.
Практический вывод для бизнеса прост: при наличии LoadMaster нельзя откладывать инвентаризацию и обновление. Неаутентифицированное выполнение команд на сетевом устройстве требует оперативно подтвердить устранение CVE-2026-8037 и оценить следы попыток эксплуатации.