CISA、悪用が確認されたProgress LoadMasterのコマンドインジェクション脆弱性を警告

米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、Progress LoadMasterに存在する深刻なコマンドインジェクション脆弱性(CVE-2026-8037)について、実際の悪用の証拠を確認したとして、既知の悪用済み脆弱性(KEV)カタログに追加しました。

Hacking& Cracking

この脆弱性により、認証を受けていない攻撃者が脆弱なアプライアンス上で任意のコマンドを実行できるようになります。LoadMasterの管理サービスをインターネットに公開している組織にとっては、重大なリスクとなります。

CISAは2026年8月7日にこの脆弱性をKEVカタログに追加し、連邦文民行政機関(FCEB)に対し、拘束的運用指令(Binding Operational Directive)26-04に基づき、8月10日までにベンダーの緩和策を実施するよう指示しました。

同庁はまた、防御側に対し、インターネットへの露出状況を評価し、フォレンジック・トリアージの要件を順守するとともに、適切な緩和策が存在しない場合は該当製品の使用を中止するよう呼びかけています。

Progress LoadMasterのコマンドインジェクション脆弱性

CVE-2026-8037はCWE-77に分類されており、これはOSコマンドで使用される特殊要素の不適切な無害化を指すものです。

この問題は、LoadMasterを含むProgress ADC製品内のAPIエンドポイントで発生しており、サニタイズされていない入力を利用してOSコマンドを実行できる状態になっています。そのため、攻撃者はこの脆弱性を悪用する際に、有効なアプライアンスの認証情報を必要としません。

eSentireはこの脆弱性にCVSSスコア9.6を割り当てています。技術分析によると、根本原因はescape_quotes()関数に関連しており、ヒープバッファが確保される一方で、エスケープされた文字列が適切にnull終端されていない点にあるとされています。

この見落としにより範囲外読み取り(out-of-bounds read)が発生する可能性があり、攻撃者が制御するコンテンツが`system()`を通じてシェルコマンド内で実行されてしまう恐れがあります。

研究者らは、LoadMaster APIが有効になっている場合、この脆弱なワークフローが/accessv2エンドポイント経由でアクセス可能であることを突き止めています。

この脆弱性の悪用に成功すると、通常はネットワーク境界に配置されているデバイス上でリモートコマンド実行が可能になるため、偵察活動や認証情報の窃取、横方向移動、あるいは後続ペイロードの展開にとって格好の標的となります。

eSentireの脅威対応部門(Threat Response Unit)は、6月29日以降、悪用の試みが増加していると報告しています。これは、実際に機能する概念実証(PoC)コードが公開された時期と一致しています。

同社が監視対象の環境において侵害の成功例や侵害後の挙動を観測していないとはいえ、悪用コードが公開されている状況は、日和見的なスキャンや武器化のハードルを大幅に下げています。

CISAがKEVカタログに追加したという事実は、悪用が理論上のリスクの段階を超えて進行していることを示しています。現時点で、このカタログはこの脆弱性がランサムウェアキャンペーンに利用されているとは特定していません。

しかし、防御側はこれを安全の兆候と捉えるべきではありません。外部から到達可能なエッジアプライアンスは、特に悪用に認証が不要な場合、初期アクセスの標的として価値の高いものとなり得るからです。

Progress LoadMasterを利用している組織は、リスクを軽減するために直ちに以下の対策を講じる必要があります。

CVE-2026-8037は認証を受けていない状態でのコマンド実行を許すものであるため、パッチ適用だけでは攻撃者の永続的な侵入経路を排除できない可能性があります。したがって、パッチ適用と併せて、侵害の有無について徹底的な評価を行う必要があります。

フィッシングやマルウェアが貴社を侵害する前に阻止しましょう。世界15,000のSOCからのライブインテリジェンスを統合

Antivirus& Malware