CVE-2026-8037 ist laut Progress Software eine kritische Befehlsinjektionsschwachstelle in Kemp LoadMaster. Angreifer benötigen dafür keine Anmeldung: Auf ungepatchten Appliances lassen sich über nicht bereinigte API-Eingaben an mehreren Befehlsendpunkten beliebige Kommandos ausführen.
Der Hersteller hatte im Juni Updates für Kemp LoadMaster bereitgestellt. Genannt werden dabei GA v7.2.63.1 oder älter sowie LTSF v7.2.54.17 oder älter als betroffene Versionen. Zugleich bestätigte Progress, dass die Schwachstelle auch alle Versionen von MOVEit WAF vor GA v7.2.63.2 betrifft.
CISA hat die Lücke am Freitag in ihren Katalog der aktiv ausgenutzten Schwachstellen aufgenommen. Die Behörde ordnete an, dass Behörden der U.S. Federal Civilian Executive Branch ihre Server innerhalb von drei Tagen absichern müssen, wie es die Binding Operational Directive 26-04 vorsieht. Zur Begründung erklärte CISA, diese Art von Schwachstelle sei ein häufiger Angriffsvektor für böswillige Cyberakteure und berge erhebliche Risiken für die föderale IT.
Zwar gilt BOD 26-04 nur für US-Regierungsbehörden. CISA rief jedoch alle Verteidiger dazu auf, das Schließen von CVE-2026-8037 zu priorisieren, um eingehende Angriffe zu blockieren.
Wie groß die direkt erreichbare Angriffsfläche derzeit ist, bleibt unklar. Nach Angaben des Internet-Bedrohungsbeobachters Shadowserver sind fast 300 Kemp-LoadMaster-Instanzen online exponiert. Allerdings liegen keine Informationen dazu vor, wie viele davon Honeypots sind oder bereits gegen Angriffe auf CVE-2026-8037 abgesichert wurden.
Kemp LoadMaster ist ein populärer ADC und Lastverteiler für Server, der von Technologieunternehmen und Regierungsstellen weltweit eingesetzt wird, darunter laut Quelltext Amazon und die U.S. Air Force. Das System verteilt eingehenden Webverkehr auf mehrere Server, soll die Leistung von Anwendungen verbessern und die Verfügbarkeit von Diensten sichern. Progress Software beziffert die Verbreitung mit mehr als 100.000 Installationen weltweit.
Im gleichen Zusammenhang verweist der Quelltext auf einen weiteren Sicherheitsvorfall rund um Progress: Im vergangenen Monat hatte das Unternehmen ShareFile-Kunden mit Storage Zone Controllers per E-Mail aufgefordert, ihre Server sofort herunterzufahren. Hintergrund war nach Angaben des Herstellers eine aus seiner Sicht glaubhafte externe Sicherheitsbedrohung gegen die lokal betriebene Software für sicheres Dateifreigeben.
Wenige Tage später veröffentlichte Progress Patches für eine ShareFile-Zero-Day-Schwachstelle mit hoher Schwere, die auf Path Traversal beruhte. Gegenüber BleepingComputer erklärte das Unternehmen damals, es gebe keine Hinweise auf unbefugten Zugriff auf Konten oder Daten von ShareFile-Kunden, und es sei keine aktive Bedrohung identifiziert worden.