米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、Progress Kemp LoadMasterに存在する深刻度クリティカルのコマンドインジェクション脆弱性が、ハッカーによって悪用されていると警告しました。
Kemp LoadMasterは非常に人気の高いアプリケーション配信コントローラ(ADC)兼サーバーロードバランサーで、Amazonや米空軍など世界中の企業・政府機関が、受信するWebトラフィックを複数のサーバーに分散させ、アプリのパフォーマンスを最適化し、高いサービス可用性を確保するために利用しています。
Progress Softwareによれば、Fortune 500企業の80%が同社の製品・サービスを利用しており、Kemp LoadMasterの導入数は全世界で10万件を超えるといいます。
CVE-2026-8037として追跡されているこの深刻なコマンドインジェクション脆弱性は、複数のコマンドエンドポイントにおけるAPI入力のサニタイズ不備を突くことで、認証を経ていない攻撃者がパッチ未適用のLoadMasterアプライアンス上で任意のコマンドを実行できてしまうというものです。
6月、Progress Softwareはセキュリティ更新プログラムを公開し、Kemp LoadMaster(GA v7.2.63.1以前およびLTSF v7.2.54.17以前)の脆弱性を修正しました。さらに、GA v7.2.63.2より前のすべてのMOVEit WAF(Webアプリケーションファイアウォール)バージョンにも影響が及ぶことを確認したとしています。
インターネットの脅威監視団体Shadowserverによると、Kemp LoadMasterのインスタンス約300台がインターネット上に公開されています。ただし、そのうちどれだけがハニーポットなのか、あるいはすでにCVE-2026-8037への攻撃対策が施されているのかについての情報はありません。
金曜日、CISAはこの脆弱性を実際に悪用が確認された脆弱性カタログに追加し、拘束的運用指令(BOD)26-04に基づき、米連邦文民行政機関(FCEB)に対して3日以内にサーバーを保護するよう命じました。
「この種の脆弱性は悪意あるサイバー攻撃者にとって頻繁な攻撃経路であり、連邦政府全体に重大なリスクをもたらします」と同庁は警告しています。
BOD 26-04が適用されるのは米政府機関のみですが、CISAはすべての防御担当者に対し、攻撃を阻止するためCVE-2026-8037の脆弱性へのパッチ適用を優先するよう呼びかけています。
先月にはProgressも、オンプレミス向けの安全なファイル共有ソフトウェアを標的とした「信頼性の高い外部からのセキュリティ脅威」を確認したとして、Storage Zone Controllersを利用しているShareFile顧客に対し、サーバーの即時停止を求めるメールを送付していました。
その数日後、同社はShareFileのパストラバーサル型ゼロデイ脆弱性(深刻度高)に対するセキュリティパッチを公開しました。もっとも、BleepingComputerに対しては「ShareFileの顧客アカウントやデータへの不正アクセスを示す兆候はなく、実際の脅威も確認されていない」とコメントしています。
攻撃者に先んじて、すべてのレイヤーをテストする
セキュリティチームが検知できているのは、成功した攻撃のわずか54%。アラートが出るのはそのうちたった14%に過ぎません。残りは、環境内を気づかれないまま通過しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーション(BAS)がSIEMやEDRのルールをどのようにテストし、検知をすり抜ける脅威を防ぐのかを解説しています。
