Betroffen ist nicht nur Progress LoadMaster, sondern laut der Sicherheitsmitteilung von Progress auch ECS Connection Manager, Connection Manager for ObjectScale und MOVEit WAF. Die Schwachstelle wurde zusammen mit CVE-2026-33691 offengelegt. Im Mittelpunkt steht bei CVE-2026-8037 die Verarbeitung des Parameters „apiuser“ am Endpunkt „accessv2“.
Nach Beschreibung der Zero Day Initiative entsteht das Problem, weil Speicher vor dem Zugriff nicht korrekt initialisiert wird. Dadurch könne ein Angreifer Code mit Root-Rechten ausführen. Progress führt die Ursache konkreter auf die Funktion escape_quotes() zurück: In LoadMaster GA Version 7.2.63.1 und älter sowie in LoadMaster LTSF Version 7.2.54.17 und älter werde benutzerkontrollierte Eingabe nicht korrekt verarbeitet.
watchTowr beschreibt in seiner Analyse den technischen Ablauf genauer. Demnach reserviert die Funktion mit malloc() einen nicht initialisierten Heap-Puffer, schreibt nach der maskierten Ausgabe jedoch keinen Null-Terminierer. Das führe zu Lesezugriffen außerhalb der vorgesehenen Grenzen auf benachbarten, bereits freigegebenen Speicher.
Laut watchTowr lässt sich dieser Zustand ausnutzen, indem ein nicht authentifizierter Angreifer Inhalte für eine Kommandoinjektion in den benachbarten Speicherbereich platziert, auf den der fehlerhafte Lesezugriff zielt. Das könne schließlich über die Funktion system() zur Befehlsausführung führen.
Die aktive Ausnutzung dürfte wahrscheinlich an dem Punkt begonnen haben, als watchTowr technische Informationen und einen Proof of Concept veröffentlichte. eSentire warnte kurz darauf, dass Angreifer CVE-2026-8037 unmittelbar nach Veröffentlichung der technischen Analyse auszunutzen begannen. Die ersten Versuche seien jedoch nicht erfolgreich gewesen, so das Unternehmen.
Zusätzlich verwies eSentire darauf, dass LoadMaster-Appliances häufig am Netzwerkrand positioniert sind und oft Einblick in kritische interne Dienste haben. Eine Kompromittierung des Geräts könne daher als Einstiegspunkt dienen und weitere bösartige Aktivitäten innerhalb einer Umgebung erleichtern.
Am Freitag nahm CISA die Schwachstelle in den KEV-Katalog auf. Mit dieser Einstufung verbindet die Behörde eine knappe Frist: Bundesbehörden haben nur drei Tage Zeit, die Lücke zu beheben.