CVE-2026-8037 betrifft Progress Kemp LoadMaster und wurde von CISA mit dem Schweregrad „kritisch“ in den KEV-Katalog aufgenommen. Die Schwachstelle erreicht einen CVSS-Wert von 9,6 und ermöglicht nach Angaben der Behörde die Ausführung beliebiger Befehle auf verwundbaren Systemen.
CISA erklärte, Progress LoadMaster enthalte eine Command-Injection-Schwachstelle, durch die ein nicht authentifizierter Angreifer über unzureichend bereinigte Eingaben in mehreren Befehlsendpunkten beliebige Kommandos auf der LoadMaster-Appliance ausführen könne. Für eine erfolgreiche Ausnutzung seien keine gültigen Zugangsdaten erforderlich.
watchTowr Labs beschrieb die Lücke in einer im Juni 2026 veröffentlichten Analyse genauer. Demnach steckt das Problem in einer Funktion mit dem Namen „escape_quotes()“ innerhalb der Load-Balancer-Anwendung. Ursache sei eine fehlerhafte Verarbeitung von durch Nutzer gelieferten Eingaben, die letztlich eine Command Injection ermögliche.
eSentire hatte bereits etwas mehr als einen Monat zuvor von aktiven Ausnutzungsversuchen gegen die Schwachstelle berichtet. Der kanadische Sicherheitsanbieter wies allerdings darauf hin, dass diese Versuche größtenteils erfolglos geblieben seien.
Zusätzliche Telemetriedaten von KEVIntel zeigen das Ausmaß der beobachteten Aktivitäten. Demnach wurden in den vergangenen 41 Tagen insgesamt 792 Ausnutzungsversuche von 65 eindeutigen IP-Adressen aus 18 Ländern registriert, darunter Australien, China, Indonesien, Japan, Polen und die USA. Die letzte Aktivität wurde am 4. August 2026 erfasst; an diesem Tag wurden fünf Ausnutzungsversuche festgestellt.
Vor dem Hintergrund der aktiven Ausnutzung empfiehlt CISA Behörden der Federal Civilian Executive Branch, die erforderlichen Patches bis zum 10. August 2026 einzuspielen. Die Empfehlung erfolgt im Rahmen der Binding Operational Directive 26-04.