Lỗ hổng RCE trước xác thực trên Progress Kemp LoadMaster (CVE-2026-8037) bị khai thác chủ động
"A critical pre-authentication remote code execution vulnerability in Progress Kemp LoadMaster, tracked as CVE-2026-8037 with a CVSS score of 9.6, is being actively targeted in exploitation attempts. The flaw is an OS command injection issue in the API that can let an unauthenticated attacker execute arbitrary commands on affected appliances; Progress issued an advisory and eSentire reported failed attack attempts beginning June 29, 2026, with PoC details likely to increase abuse."
Nguy cơ cao do RCE trước xác thực và khả năng OS command injection cho phép thực thi lệnh tùy ý mà không cần thông tin đăng nhập; eSentire chưa ghi nhận post-compromise nhưng khai thác chủ động làm tăng xác suất ảnh hưởng.
Có thể gây gián đoạn dịch vụ và ảnh hưởng chuỗi cung ứng vận hành do LoadMaster là thành phần điều phối lưu lượng; mức độ rủi ro tăng khi PoC và chi tiết kỹ thuật có thể thúc đẩy tấn công quy mô lớn.
Một lỗ hổng remote code execution (RCE) trước xác thực trong Progress Kemp LoadMaster đang bị nhắm mục tiêu khai thác chủ động, theo thông tin từ eSentire Threat Response Unit (TRU). Sự cố được theo dõi dưới CVE-2026-8037 với CVSS 9.6. Đây là lỗi OS command injection trong API, cho phép kẻ tấn công không cần đăng nhập gửi yêu cầu đặc biệt để thực thi lệnh tùy ý trên các thiết bị bị ảnh hưởng.
Theo advisory của Progress, kẻ tấn công có thể lợi dụng dữ liệu đầu vào không được xử lý đúng cách để đạt arbitrary code execution trên appliance. Phân tích của watchTowr Labs cho biết nguyên nhân liên quan hàm escape_quotes() và việc xử lý chuỗi đã “sanitized” nhưng không null-terminate đúng cách, dẫn tới out-of-bounds read vào vùng heap lân cận. Lỗ hổng có thể được khai thác thông qua endpoint /accessv2 để kích hoạt command injection.
eSentire ghi nhận các nỗ lực khai thác quan sát được đều thất bại nên chưa thấy hoạt động sau xâm nhập. Tuy nhiên, sự sẵn có của PoC và chi tiết kỹ thuật có thể làm tăng mức độ lạm dụng. Các IP được nêu gồm 192.42.116.58, 192.42.116.105, 146.70.139.154.
Khuyến nghị: rà soát mức phơi nhiễm của LoadMaster, áp dụng bản vá/khuyến nghị từ nhà cung cấp, hạn chế truy cập mạng tới giao diện quản trị/API và giám sát lưu lượng bất thường tới /accessv2.