米サイバーセキュリティ機関CISAは、Progress Kemp LoadMasterに存在する深刻度クリティカルの脆弱性が実際の攻撃で悪用されているとして、連邦政府機関に対し即時のパッチ適用を要請しました。
CVE-2026-8037(CVSSスコア9.6)として追跡されているこの欠陥は、認証なしで悪用可能なOSコマンドインジェクションであり、リモートコード実行(RCE)につながる恐れがあると説明されています。
Progressのセキュリティ情報によると、リモートの攻撃者はサニタイズされていないAPI入力を悪用することで、LoadMasterアプライアンス上で任意のコマンドを実行できるとされています。
この脆弱性はCVE-2026-33691とともに6月4日に公表されており、ECS Connection Manager、Connection Manager for ObjectScale、MOVEit WAFにも影響が及んでいます。
ZDIのアドバイザリには次のように記載されています。「この特定の欠陥は、accessv2エンドポイントに渡されるapiuserパラメータの処理に存在する。この問題は、メモリへのアクセス前に適切な初期化が行われていないことに起因する。攻撃者はこの脆弱性を悪用し、root権限のコンテキストでコードを実行できる」(出典)。
実際の悪用は6月29日頃から始まったとみられています。この日、アタックサーフェス管理企業のwatchTowrが技術情報と概念実証(PoC)コードを公開しました。
この問題は、LoadMaster GAバージョン7.2.63.1以前およびLoadMaster LTSFバージョン7.2.54.17以前に含まれるescape_quotes()関数が、ユーザー入力を適切に処理していなかったことに起因します。
watchTowrの分析によると、この関数はmalloc()を使って初期化されていないヒープバッファを確保するものの、エスケープ処理後の出力の後にヌル終端文字を書き込んでいなかったため、隣接する解放済みメモリからの範囲外読み取りが発生していました。
同社は、認証されていない攻撃者がこの範囲外読み取りの対象となる隣接メモリにコマンドインジェクションのコンテンツを送り込むことで、system()関数を介したコマンド実行につなげられることを突き止めました。
6月30日、サイバーセキュリティ企業のeSentireは、技術分析の公開直後からハッカーがCVE-2026-8037の悪用を開始したと警告しました。ただし、同社によると当初の悪用の試みは成功していなかったとのことです。
eSentireは次のように警鐘を鳴らしています。「LoadMasterアプライアンスはネットワークのエッジに配置されることが多く、重要な内部サービスを可視化していることも少なくないため、このデバイスが侵害されると、初期アクセスや環境内でのさらなる悪意ある活動が助長される恐れがある」
金曜日、CISAはこのCVEを既知の悪用された脆弱性(KEV)カタログに追加し、連邦政府機関にはパッチ適用までわずか3日间しか猶予が与えられていません。
