Il 7 agosto 2026 CISA ha aggiunto CVE-2026-8037 al catalogo Known Exploited Vulnerabilities. La falla in Progress Kemp LoadMaster, con punteggio CVSS 9.6, ha generato 792 tentativi di exploitation distribuiti tra 65 indirizzi IP unici in 18 paesi. Le agenzie federali statunitensi devono applicare la patch entro il 10 agosto 2026 in ottemperanza al Binding Operational Directive 26-04. L'intervallo di 25 giorni tra rilascio della correzione e prima exploitation pubblica ricalibra il parametro per misurare la risposta alle vulnerabilità su infrastrutture edge esposte a Internet.
- CISA ha inserito CVE-2026-8037 nel catalogo KEV il 7 agosto 2026; le agenzie federali devono patchare entro il 10 agosto 2026 per BOD 26-04.
- KEVIntel ha rilevato 792 tentativi di exploitation in 41 giorni da 65 IP unici in 18 paesi, con ultima attività registrata il 4 agosto.
- eSentire ha qualificato i tentativi come "largamente senza successo", senza che le fonti confermino exploitation riuscite.
- La vulnerabilità è un command injection non autenticato nella funzione
escape_quotes()all'endpoint/accessv2, eseguito con privilegi root.
"Progress LoadMaster contains a command injection vulnerability that allows an un-authenticated attacker to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in multiple command endpoints"
Da rapporto ZDI a exploitation: la cronologia dei 25 giorni
La vulnerabilità è stata segnalata a Progress Software attraverso il programma Zero Day Initiative il 15 aprile 2026 da Syed Ibrahim Ahmed di TrendAI Research. Progress ha rilasciato le patch il 4 giugno 2026. ZDI ha pubblicato l'advisory coordinato ZDI-26-342 il 9 giugno 2026, confermando l'esecuzione di codice arbitrario in contesto root senza necessità di autenticazione.
Il 29 giugno 2026 watchTowr Labs ha pubblicato l'analisi tecnica completa con proof-of-concept funzionante. Secondo la ricostruzione di hard2bit, i tentativi di exploitation sono iniziati lo stesso giorno. L'intervallo di 25 giorni tra patch e prima exploitation pubblica si colloca al di sotto della media osservata per le vulnerabilità edge con PoC disponibile, e rappresenta l'unico parametro temporale rilevante per le operazioni di risposta.
Il meccanismo tecnico: memoria non inizializzata e terminatore mancante
La funzione escape_quotes(), utilizzata durante la validazione delle credenziali API all'endpoint /accessv2, alloca memoria heap senza azzeramento iniziale e non scrive il terminatore nullo. Le operazioni di lettura su stringa estendono quindi il buffer in memoria adiacente. Un attacco può gonfiare le dimensioni della richiesta per posizionare contenuto controllato in quella memoria adiacente, che viene successivamente incorporato in un comando shell.
La correzione implementa allocazione con azzeramento esplicito e scrittura del terminatore nullo. Le versioni interessate sono Kemp LoadMaster LTSF 7.2.54.17 e precedenti con API abilitata. Le versioni corrette sono 7.2.63.2 per il ramo GA e 7.2.54.18 per il ramo LTSF, secondo quanto documentato da hard2bit.
Telemetria e geografia dell'attività rilevata
I dati KEVIntel, riportati da The Hacker News, documentano 792 tentativi di exploitation in 41 giorni. Gli indirizzi IP attaccanti, 65 unici, si distribuiscono in 18 paesi tra cui Australia, Cina, Indonesia, Giappone, Polonia e Stati Uniti. L'ultima attività registrata risale al 4 agosto 2026 con cinque tentativi. hard2bit qualifica l'attività come "scansione opportunistica, non una campagna diretta a un settore specifico", distinguendola da operazioni mirate.
eSentire ha confermato l'attività di exploitation, notando che i tentativi sono stati "largamente senza successo". Le fonti non documentano exploitation confermate con successo, né associano l'attività a gruppi threat actor specifici o campagne ransomware attive. Il catalogo CISA KEV classifica lo stato di utilizzo in ransomware come "Unknown".
Cosa fare adesso
Le organizzazioni che impiegano Kemp LoadMaster devono verificare lo stato dell'API e applicare le versioni corrette: 7.2.63.2 per il ramo GA o 7.2.54.18 per il ramo LTSF. Le agenzie federali statunitensi sono vincolate alla scadenza del 10 agosto 2026 per BOD 26-04.
La verifica dell'esposizione dell'endpoint /accessv2 costituisce passo prioritario, dato che la vulnerabilità richiede l'API abilitata per essere raggiungibile. Le organizzazioni devono considerare il rilascio del PoC pubblico come l'evento che avvia il conteggio effettivo per la risposta, piuttosto che la data di rilascio della patch vendor. Le infrastrutture edge che terminano TLS, distribuiscono traffico e ospitano funzionalità WAF rappresentano posizione privilegiata nella rete: l'accesso root su questi dispositivi abilita il movimento laterale verso segmenti interni.
Il monitoraggio deve concentrarsi sulle richieste all'endpoint /accessv2 con parametri apiuser anomali, in particolare richieste con dimensioni inflate rispetto ai pattern operativi standard. La persistenza dell'attività fino al 4 agosto 2026 indica che la superficie di attacco rimane attiva nonostante la disponibilità delle patch da oltre due mesi.
Perché il 25-giorni cambia la metrica di risposta
L'angolo di lettura suggerito dal dossier editoriale si concentra sullo scollamento tra la data di rilascio patch e la data di pubblicazione PoC come vero inizio del conteggio per le infrastrutture esposte. In questo caso, Progress ha corretto il 4 giugno, ma la exploitation pubblica è iniziata il 29 giugno. Per i load balancer e gli ADC edge, la metrica "giorni dalla patch" risulta insufficiente: il parametro operativo diventa "giorni dal PoC".
Questo riallineamento implica che le finestre di risposta misurate in settimane non sono adeguate per asset che terminano connessioni crittografate e distribuiscono traffico applicativo. La posizione di Kemp LoadMaster — dispositivo con visibilità su traffico decriptato e capacità di instradamento — amplifica il valore per un attaccante rispetto a un endpoint generico. La combinazione di accesso root non autenticato e posizione di controllo del traffico rende questa classe di vulnerabilità prioritaria indipendentemente dal volume di exploitation osservato.
La scadenza BOD 26-04 al 10 agosto 2026 vincola le agenzie federali, ma l'inserimento nel catalogo CISA KEV funziona da segnale di priorità elevata per tutte le organizzazioni. La mancanza di exploitation confermate non attenua il rischio: la disponibilità del PoC pubblico e la continuità della scansione opportunistica mantengono la vulnerabilità in stato di rischio attivo.
Qual è la differenza tra la data di patch e la data di exploitation effettiva?
Progress ha rilasciato la patch il 4 giugno 2026, ma la exploitation pubblica è iniziata il 29 giugno 2026 con la pubblicazione del PoC da parte di watchTowr Labs. Le fonti documentano un intervallo di 25 giorni tra questi due eventi. Per le infrastrutture edge esposte a Internet, la data di pubblicazione del PoC rappresenta il punto di inizio del risacco operativo, non la data di disponibilità della patch.
Perché CISA classifica "Unknown" l'utilizzo in ransomware?
Il catalogo CISA KEV indica lo stato di utilizzo in ransomware come "Unknown" per CVE-2026-8037. Le fonti disponibili non documentano campagne ransomware attive che sfruttino questa vulnerabilità. hard2bit menziona previsioni di possibile adozione da parte di gruppi ransomware, ma queste non sono confermate. La fonte non specifica ulteriori dettagli su questa classificazione.
Quali versioni sono effettivamente vulnerabili?
Secondo hard2bit, la vulnerabilità interessa Kemp LoadMaster LTSF versione 7.2.54.17 e precedenti, con la condizione che l'API sia abilitata. Non tutte le installazioni sono esposte: la configurazione con API disabilitata rimane non raggiungibile tramite questo vettore. Le versioni corrette sono 7.2.63.2 per il ramo GA e 7.2.54.18 per il ramo LTSF.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://schema.org/FAQPage
- https://thehackernews.com/2026/08/progress-kemp-loadmaster-flaw-hits-cisa.html
- https://hard2bit.com/en/blog/cve-2026-8037-kemp-loadmaster-patch-to-exploitation-window/
- https://thomasharris6.wordpress.com/2026/08/08/progress-kemp-loadmaster-flaw-hits-cisa-kev-after-792-reported-exploit-attempts/
- https://www.zerodayinitiative.com/advisories/ZDI-26-342/
- https://www.cisa.gov/news-events/alerts/2026/08/07/cisa-adds-one-known-exploited-vulnerability-catalog
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://thehackernews.com/
- https://thehackernews.com/p/upcoming-hacker-news-webinars.html
- https://schema.org/Question
- https://schema.org/Answer