CISA đưa lỗ hổng Progress Kemp LoadMaster vào danh mục KEV
"CISA added CVE-2026-8037, a critical command injection vulnerability in Progress Kemp LoadMaster with a CVSS score of 9.6, to its Known Exploited Vulnerabilities catalog after evidence of active exploitation. The flaw can let an unauthenticated attacker execute arbitrary commands on affected appliances, and FCEB agencies were directed to apply patches by August 10, 2026."
Rủi ro cao do thực thi lệnh từ xa không cần xác thực, đã có khai thác thực tế và được đưa vào CISA KEV.
Có thể ảnh hưởng đến tính sẵn sàng của hệ thống cân bằng tải và làm gián đoạn dịch vụ nếu thiết bị bị chiếm quyền hoặc phải dừng để vá.
Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) đã bổ sung CVE-2026-8037 vào danh mục Known Exploited Vulnerabilities (KEV) sau khi ghi nhận dấu hiệu khai thác đang diễn ra trên thực tế. Lỗ hổng này nằm trong Progress Kemp LoadMaster, được chấm CVSS 9.6, và là lỗi command injection có thể cho phép kẻ tấn công không cần xác thực thực thi lệnh tùy ý trên thiết bị bị ảnh hưởng.
Theo phân tích kỹ thuật, vấn đề bắt nguồn từ việc xử lý đầu vào không an toàn trong nhiều điểm cuối lệnh, dẫn đến khả năng chèn lệnh trên appliance cân bằng tải. Dữ liệu giám sát của KEVIntel cho thấy đã có 792 lần cố gắng khai thác trong 41 ngày, từ 65 IP khác nhau thuộc 18 quốc gia; hoạt động gần nhất được ghi nhận vào 4/8/2026.
Các tổ chức đang vận hành LoadMaster nên xác định phiên bản bị ảnh hưởng, ưu tiên vá lỗi theo khuyến nghị của nhà cung cấp và giám sát nhật ký truy cập để phát hiện hành vi bất thường. Với các cơ quan thuộc FCEB, hạn chót áp dụng bản vá là 10/8/2026 theo BOD 26-04.