CISA ha inserito CVE-2026-8037 nel Known Exploited Vulnerabilities Catalog il 7 agosto 2026, confermando che una falla in Progress Kemp LoadMaster — corretta due mesi prima — è ora oggetto di exploitation attiva su scala globale. Secondo i dati di telemetria raccolti da KEVIntel e riportati da The Hacker News, sono stati rilevati 792 tentativi di exploit in 41 giorni da 65 indirizzi IP unici distribuiti in 18 paesi, con l'ultima attività registrata il 4 agosto. La transizione da vulnerabilità teorica a minaccia documentata impone alle agenzie federali USA una deadline di patch entro il 10 agosto per compliance con il BOD 26-04.
- CISA ha aggiunto CVE-2026-8037 al catalogo KEV il 7 agosto 2026, confermando exploitation attiva di una vulnerabilità nota da aprile e corretta a giugno.
- La falla è una command injection pre-autenticazione in Progress Kemp LoadMaster con CVSS 9.6 secondo CISA e 9.8 secondo ZDI, che consente esecuzione di comandi arbitrari come root.
- KEVIntel ha rilevato 792 tentativi di exploit in 41 giorni da 65 IP unici in 18 paesi; eSentire ha classificato i tentativi come "largely unsuccessful".
- Il BOD 26-04 impone alle agenzie Federal Civilian Executive Branch di applicare le patch entro il 10 agosto 2026.
La meccanica della falla: da escape_quotes() a command injection
Il nucleo tecnico risiede nella funzione escape_quotes() dell'endpoint /accessv2, che gestisce la validazione delle credenziali API. Secondo l'analisi di watchTowr Labs pubblicata su The Hacker News il 30 giugno 2026, la funzione alloca un buffer di memoria senza azzerarlo e omette di scrivere un terminatore null alla fine della stringa sanificata. L'attaccante invia un corpo JSON con un valore apiuser craftato e chiavi aggiuntive contenenti payload di command injection. La lettura oltre i confini del buffer in aree di memoria controllabili dall'esterno consente di iniettare comandi arbitrari con privilegi di root, senza necessità di autenticazione valida.
L'advisory ZDI-26-342, rilasciato il 9 giugno 2026, conferma la sequenza: "The specific flaw exists within the handling of the apiuser parameter provided to the accessv2 endpoint. The issue results from the lack of proper initialization of memory prior to accessing it. An attacker can leverage this vulnerability to execute code in the context of root." La scoperta è attribuita a Syed Ibrahim Ahmed di TrendAI Research, che ha segnalato la vulnerabilità a Progress tramite il programma Zero Day Initiative il 15 aprile 2026.
Dati di exploitation: il passaggio da PoC a attacchi reali
La pubblicazione dell'advisory ZDI a giugno 2026 non ha immediatamente attivato exploitation di massa. The Hacker News riportava all'epoca che watchTowr Labs aveva sviluppato un proof of concept ma che non erano stati segnalati attacchi. La situazione è mutata nel corso di luglio. I dati KEVIntel citati dall'articolo del 7 agosto 2026 mostrano una progressione sostenuta: 792 tentativi distribuiti in 41 giorni, con origini geografiche che includono Australia, Cina, Indonesia, Giappone, Polonia e Stati Uniti. L'ultimo picco — 5 tentativi il 4 agosto — suggerisce che l'attività non si sia arrestata con l'inserimento nel KEV.
"According to telemetry data captured by KEVIntel, a total of 792 exploitation attempts have been observed over the last 41 days from 65 unique IP addresses from 18 countries" — The Hacker News, riportando dati KEVIntel
eSentire, citata sempre da The Hacker News, ha riportato exploitation attiva "a little over a month" prima dell'aggiunta KEV, qualificando i tentativi come "largely unsuccessful". Il dossier non chiarisce se l'insuccesso sia dovuto a difese attive sul target o a errori nella catena di exploit degli attaccanti. Il numero di sistemi effettivamente compromessi rimane non quantificato.
Versioni affette e correzione: due mesi di finestra espositiva
Le versioni vulnerabili comprendono LoadMaster GA v7.2.63.1 e precedenti, e LTSF v7.2.54.17 e precedenti. Le release note ufficiali citate da The Hacker News indicano che le versioni corrette GA v7.2.63.2 e LTSF v7.2.54.18 sono state distribuite a giugno 2026, contestualmente all'advisory Progress del 4 giugno. La patch sostituisce la funzione di allocazione con una che azzera esplicitamente il buffer e aggiunge il terminatore null, eliminando entrambi i fattori che rendevano sfruttabile la lettura fuori limiti.
La finestra temporale tra rilascio della correzione e inserimento nel KEV — circa due mesi — rappresenta il periodo critico in cui i sistemi non aggiornati sono rimasti esposti a una vulnerabilità diventata di pubblico dominio con PoC disponibile. L'assenza di autenticazione richiesta abbassa ulteriormente la soglia di attacco: qualsiasi appliance LoadMaster esposta su reti raggiungibili è potenzialmente bersagliabile senza credenziali preliminari.
Cosa fare adesso
- Verificare la versione di Kemp LoadMaster in produzione: le build GA precedenti a 7.2.63.2 e LTSF precedenti a 7.2.54.18 sono vulnerabili e richiedono aggiornamento immediato.
- Per le agenzie FCEB statunitensi, rispettare la deadline del BOD 26-04 fissata al 10 agosto 2026 per applicazione delle patch.
- Ispezionare i log di accesso all'endpoint
/accessv2alla ricerca di richieste con corpi JSON anomali contenenti chiavi aggiuntive o valoriapiusersospetti. - Valutare la segmentazione di rete per limitare la raggiungibilità delle appliance LoadMaster da reti non autorizzate, riducendo la superficie di esposizione pre-autenticazione.
Da vulnerabilità coordinata a minaccia KEV: la lettura
L'inserimento nel catalogo KEV non è una formalità burocratica: è il punto in cui CISA attiva meccanismi di compliance vincolanti per il settore pubblico federale e segnala al mercato privato che il rischio è passato da valutazione teorica a evento misurato. I 792 tentativi documentati da KEVIntel — con una distribuzione geografica ampia e una persistenza di oltre un mese — indicano che gli attori di minaccia hanno integrato la falla nei loro arsenali operativi, non limitandosi a raccolta di intelligence.
Il caso CVE-2026-8037 ripropone uno schema ricorrente nel ciclo di vita delle vulnerabilità infrastrutturali: la scoperta responsabile, la correzione tempestiva, la pubblicazione coordinata dell'advisory, e infine — mesi dopo — la comparsa di exploitation su sistemi rimasti indietro con le patch. Il gap tra disponibilità del fix e attacchi reali non è tecnicamente determinato dalla vulnerabilità stessa, ma dalla velocità di adozione delle correzioni nei percorsi di aggiornamento delle organizzazioni. Il KEV, in questo senso, funziona come acceleratore di quella adozione, convertendo la consapevolezza tecnica in obbligo operativo.
Fonti
- https://thehackernews.com/2026/08/progress-kemp-loadmaster-flaw-hits-cisa.html
- https://news.cybertechworld.co.in/index.php/2026/08/08/progress-kemp-loadmaster-flaw-hits-cisa-kev-after-792-reported-exploit-attempts/
- https://securityonline.info/kemp-loadmaster-vulnerabilities/
- https://thehackernews.com/2026/06/progress-kemp-loadmaster-flaw-could-let.html
- https://www.zerodayinitiative.com/advisories/ZDI-26-342/
- https://www.cisa.gov/news-events/alerts/2026/08/07/cisa-adds-one-known-exploited-vulnerability-catalog
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://thehackernews.com/
- https://thehackernews.com/p/upcoming-hacker-news-webinars.html
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.