米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、Progress社のKemp LoadMasterアプライアンスに影響を及ぼす深刻なコマンドインジェクションの脆弱性を、既知の悪用済み脆弱性(KEV)カタログに追加しました。CISAはこの脆弱性が実環境で積極的に悪用されていると警告しています。
CVE-2026-8037として追跡されているこの脆弱性により、認証を受けていないリモート攻撃者が影響を受けるLoadMasterアプライアンス上で任意のOSコマンドを実行できる状態になっています。
Progress LoadMasterは、アプリケーショントラフィックの分散やSSLオフロード、可用性管理を行うために、ネットワークのエッジ部分に一般的に導入されるアプリケーションデリバリーコントローラー兼ロードバランサーです。
その設置箇所とバックエンドインフラへのアクセス権限の性質から、侵害された場合の影響は特に深刻になります。攻撃者は侵害したアプライアンスを足がかりとして、偵察や認証情報の窃取、水平移動、あるいは持続的なアクセス確保に利用する可能性があります。
CVE-2026-8037はCWE-77(OSコマンドで使用される特殊要素の不適切な無害化)に分類されています。この脆弱性は、サニタイズされていない攻撃者制御の入力を処理する複数のLoadMaster APIエンドポイントに存在します。
特別に細工されたリクエストを送信することで、攻撃者は有効な認証情報を必要とせず、シェルコマンドを注入してアプライアンス側で実行させることが可能です。
この脆弱性は認証前のリモートコード実行問題であると説明されており、インターネットに公開されているインスタンスが最もリスクが高いことを意味します。
技術的な分析により、この脆弱性はLoadMasterアプリケーションのescape_quotes()関数におけるユーザー入力の不適切な処理に起因しており、特定の条件下でコマンドインジェクションを引き起こす可能性があることが判明しています。
CISAがKEVカタログに追加したことで、悪用活動が確認されたことになり、この問題は理論上の懸念にとどまらないレベルへと引き上げられました。報道で引用されたサードパーティのテレメトリデータによると、41日間で65個の固有IPアドレスから792件の悪用試行が確認されています。
CISAはこの問題を2026年8月7日にKEVカタログに追加し、米国連邦文民行政機関に対して8月10日という前倒しの是正期限を設定しました。
CISAは影響を受ける組織に対し、リスクに基づいて是正の優先順位を定める拘束的運用指令(Binding Operational Directive)26-04に沿って、ベンダー提供の緩和策を適用するよう指示しています。
政府機関や企業は、まずすべてのLoadMasterアプライアンスを特定する必要があります。特に、公衆インターネットからアクセス可能な管理インターフェースやAPIインターフェースには注意を払うべきです。
Progress LoadMasterの管理者は、Progressのセキュリティアドバイザリで指定されているサポート対象の修正済みファームウェアへ直ちにアップグレードすべきです。
直ちにパッチを適用できない組織は、アプライアンスの管理インターフェースやAPIエンドポイントへのアクセスを、信頼できる管理ネットワークに制限すべきです。理想的にはVPNやジャンプホスト、厳格に範囲を限定したファイアウォールルールを通じて行うことが望まれます。
不要なAPI機能を無効化することも、緊急対応の変更を計画している間の攻撃対象領域縮小に役立ちます。ただし、ネットワーク制御はあくまで一時的な代替措置と捉えるべきであり、根本的な是正の代わりにはなりません。
組織は、悪用が確認された場合はアプライアンス全体が侵害された可能性があるものとして対応すべきです。インシデント対応担当者は、影響を受けたシステムを隔離し、フォレンジック証拠を保全した上で、管理者およびAPIの認証情報をローテーションし、接続されているバックエンドシステムを精査する必要があります。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視化を実現し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/cisa-warns-actively-exploited-progress-kemp-loadmaster/