CVE-2026-8037
Progress LoadMaster Command Injection Vulnerability
Beschreibung
CVE-2026-8037 ist eine kritische OS-Command-Injection-Schwachstelle in Progress-ADC-Produkten — insbesondere der LoadMaster-Appliance —, die es einem nicht authentifizierten Angreifer ermöglicht, durch Ausnutzung nicht bereinigter Eingaben in mehreren API-Befehlsendpunkten beliebige Befehle auszuführen. Da die betroffene LoadMaster ein Netzwerk-Application-Delivery-Controller ist, verschafft eine erfolgreiche Command Injection dem Angreifer Remote Code Execution auf der Appliance mit dem Potenzial, tiefer in das Netzwerk vorzudringen. Die Schwachstelle erfordert weder Authentifizierung noch Benutzerinteraktion, und ihre Auswirkungen reichen über die verwundbare Komponente hinaus, was zu einem CVSS-3.1-Wert von 9.6 führt. Mit einem EPSS-Wert von über 99 % und der bestätigten Aufnahme in den Known-Exploited-Vulnerabilities-Katalog der CISA gehört CVE-2026-8037 zu den dringendsten zu behebenden Command-Injection-Schwachstellen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| progress | connection manager for objectscale | < 7.2.63.2 |
| progress | ecs connection manager | < 7.2.63.2 |
| progress | moveit web application firewall | < 7.2.63.2 |
| progress | loadmaster | < 7.2.54.18; >= 7.2.55.0, < 7.2.63.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://community.progress.com/s/article/LoadMaster-Critical-Security-Bulletin-June-2026-CVE-2026-8037-CVE-2026-33691(Patch, Vendor Advisory)
- https://labs.watchtowr.com/enterprise-tech-in-shell-out-progress-kemp-loadmaster-uninitialized-heap-to-pre-auth-rce-cve-2026-8037/(Exploit, Patch, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-8037(US Government Resource)
- https://www.esentire.com/security-advisories/progress-kemp-loadmaster-vulnerability-targeted-cve-2026-8037(Third Party Advisory)
Schwachstellentyp
CWE-77: Unsachgemäße Neutralisierung von Spezialelementen in einem Befehl ('Command Injection')
Command Injection tritt auf, wenn Software einen Befehl aus extern beeinflussten Eingaben konstruiert, ohne Spezialelemente zu neutralisieren, die den Befehl bei der Ausführung verändern können. Bei CVE-2026-8037 wird nicht bereinigte Eingabe, die mehrere LoadMaster-API-Befehlsendpunkte erreicht, in die Systembefehlsausführung übergeben, sodass ein nicht authentifizierter Angreifer beliebige Befehle auf der Appliance ausführen kann.
Mehr erfahren: CWE-77 — Unsachgemäße Neutralisierung von Spezialelementen in einem Befehl ('Command Injection')
Auswirkungsanalyse
Die Auswirkungen von CVE-2026-8037 sind gravierend: Mit dem Angriffsvektor benachbartes Netzwerk setzt die Ausnutzung voraus, dass sich der Angreifer im selben logischen Netzsegment wie die Appliance befindet und nicht im offenen Internet, doch bei niedriger Angriffskomplexität ist sie leicht auszulösen, sobald dieser Zugang besteht. Es sind keine Privilegien und keine Benutzerinteraktion erforderlich, sodass ein nicht authentifizierter Angreifer im benachbarten Netzwerk sie direkt ausnutzen kann. Da der Scope geändert ist, kann eine erfolgreiche Ausnutzung Ressourcen über die verwundbare Komponente hinaus betreffen, und die hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit bedeuten, dass der Angreifer sensiblen Verkehr und Konfiguration lesen, die Appliance verändern und die von ihr bereitgestellten Dienste stören kann. Eingestuft mit CVSS 9.6 (kritisch), einem EPSS-Wert über 99 % (99. Perzentil) und durch die CISA bestätigter aktiver Ausnutzung besteht bei dieser Schwachstelle eine nahezu sichere Wahrscheinlichkeit der Ausnutzung, weshalb eine sofortige Behebung erforderlich ist.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2026-8037 durch die Aufnahme in den Known-Exploited-Vulnerabilities-Katalog bestätigt, sodass Verteidiger exponierte Progress-ADC-Appliances als unter aktivem Angriff behandeln sollten. Öffentliche Exploit- und technische Details sind verfügbar über die Analyse von watchTowr Labs, "Enterprise Tech, in „Shell" Out — Progress Kemp LoadMaster: uninitialized heap to pre-auth RCE (CVE-2026-8037)", die als Exploit-Referenz gekennzeichnet ist. Der EPSS-Wert über 99 % (99. Perzentil) weist auf eine nahezu sichere Ausnutzungsaktivität hin, und eSentire hat einen Sicherheitshinweis veröffentlicht, wonach diese Schwachstelle gezielt angegriffen wird. Obwohl das KEV-Ransomware-Kennzeichen derzeit „Unknown" ist, macht die Kombination aus öffentlichen Exploit-Details, Erreichbarkeit vor der Authentifizierung und einem erstklassigen EPSS-Rang ein sofortiges Patchen unerlässlich.
Behebung
- Installieren Sie die Progress-Korrektur umgehend. Gemäß der KEV-Handlungsanweisung der CISA sind Maßnahmen entsprechend dem LoadMaster Critical Security Bulletin des Herstellers umzusetzen und die BOD-26-04-Vorgabe einzuhalten; kann keine Korrektur eingespielt werden, ist die Nutzung der betroffenen Appliance einzustellen.
- Aktualisieren Sie auf eine gepatchte Firmware-Version. Aktualisieren Sie LoadMaster auf mindestens 7.2.54.18 (für die 7.2.54.x-Linie) oder 7.2.63.2 (für die Linie ab 7.2.55.0) und aktualisieren Sie Connection Manager for ObjectScale, ECS Connection Manager und MOVEit Web Application Firewall auf 7.2.63.2 oder höher.
- Beschränken Sie den Management- und API-Zugriff, indem Sie die administrativen und API-Endpunkte der Appliance ausschließlich auf vertrauenswürdige Management-Netzwerke begrenzen und per Netzwerksegmentierung die Erreichbarkeit aus dem benachbarten Netz für nicht vertrauenswürdige Hosts entfernen.
- Wenden Sie Eingabevalidierung und Befehlssicherheit am Perimeter an, wo möglich — etwa WAF-Regeln, die Command-Injection-Metazeichen gegen die betroffenen API-Endpunkte blockieren — als Übergangsmaßnahme im Einklang mit der CWE-77-Empfehlung.
- Prüfen Sie Protokolle auf Kompromittierungsindikatoren, darunter unerwartete API-Befehlsanfragen, ungewöhnliche ausgehende Verbindungen von der Appliance und unautorisierte Konfigurationsänderungen, und behandeln Sie jede kompromittierte Appliance als vollständig nicht vertrauenswürdig.
Technische Details
CVE-2026-8037 ist eine OS-Command-Injection (CWE-77) in der API von Progress-ADC-Produkten, bei der vom Benutzer kontrollierbare Eingabe, die mehrere Befehlsendpunkte erreicht, ohne ordnungsgemäße Neutralisierung in Systembefehle eingebunden wird. Da Befehle und Daten nicht strikt getrennt sind, kann ein Angreifer Shell-Metazeichen einschleusen, die das zugrundeliegende System dazu bringen, beliebige Befehle mit den Privilegien des verwundbaren Dienstes auszuführen. Der CVSS-Vektor CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H zeigt, dass die Schwachstelle aus einem benachbarten Netzwerk mit niedriger Komplexität und ohne Authentifizierung oder Benutzerinteraktion erreichbar ist, während der geänderte Scope widerspiegelt, dass sich eine Kompromittierung der Appliance auf die umgebende, von ihr geschützte Umgebung erstrecken kann. Eine Drittanbieter-Analyse charakterisiert das Problem als eine Kette von uninitialisiertem Heap zu Pre-Auth-RCE auf der LoadMaster und unterstreicht, dass die Endpunkte bereits vor der Authentifizierung erreichbar sind.
Häufig gestellte Fragen
Wird CVE-2026-8037 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2026-8037 in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt, und eSentire berichtet, dass die Schwachstelle gezielt angegriffen wird. Der EPSS-Wert über 99 % (99. Perzentil) weist auf eine nahezu sichere Ausnutzungsaktivität hin, und öffentliche Exploit-Details sind verfügbar.
Welche Produkte sind von CVE-2026-8037 betroffen?
Die Schwachstelle betrifft Progress-ADC-Produkte, darunter LoadMaster (Versionen vor 7.2.54.18 sowie 7.2.55.0 bis ausschließlich 7.2.63.2) sowie Connection Manager for ObjectScale, ECS Connection Manager und MOVEit Web Application Firewall in Versionen vor 7.2.63.2.
Wie behebe ich CVE-2026-8037?
Aktualisieren Sie auf eine gepatchte Firmware-Version — LoadMaster 7.2.54.18 oder 7.2.63.2 und 7.2.63.2 für die übrigen ADC-Produkte — gemäß dem Progress Critical Security Bulletin und der KEV-Vorgabe der CISA nach BOD 26-04. Beschränken Sie bis zum Patchen den Zugriff aus dem benachbarten Netzwerk auf die API- und Management-Endpunkte der Appliance und überwachen Sie Protokolle auf verdächtige Befehlsaktivität.
Wie schwerwiegend ist CVE-2026-8037?
Sie ist kritisch, mit einem CVSS-3.1-Basiswert von 9.6. Die Schwachstelle ist nicht authentifiziert, aus einem benachbarten Netzwerk mit niedriger Komplexität ausnutzbar, erfordert keine Benutzerinteraktion, hat einen geänderten Scope und verursacht hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit; zusammen mit einem EPSS-Wert über 99 % ist sie eine der am höchsten zu priorisierenden Schwachstellen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.