A CISA adicionou a falha CVE-2026-8037 do Progress Kemp LoadMaster ao catálogo Known Exploited Vulnerabilities (KEV) em 7 de agosto de 2026, confirmando exploração ativa no mundo real e fixando o prazo final de correção para 10 de agosto. A vulnerabilidade de injeção de comando no sistema operacional, avaliada com pontuação CVSS 9,8 crítica, permite que um atacante remoto sem autenticação execute código arbitrário no appliance de balanceamento de carga explorando entradas não sanitizadas em múltiplos endpoints da API, afetando as versões GA até 7.2.63.1 e LTSF até 7.2.54.17.
A entrada no KEV eleva o risco de uma falha já corrigida pela Progress em junho a um incidente de resposta imediata para órgãos civis federais americanos e para qualquer organização que adote o catálogo como referência de priorização. O grupo CISA-ADP atualizou o status de exploração no SSVC de “poc” para “active” em 7 de agosto de 2026, sinalizando que a prova de conceito publicada pela watchTowr Labs evoluiu para ataque confirmado. A cobertura anterior da falha CVSS 9,8 no LoadMaster já havia antecipado o risco de RCE pré-autenticação assim que o código de prova circulou em fóruns técnicos.
Por que o KEV muda o cenário
O catálogo KEV obriga órgãos civis federais a aplicar a correção no prazo estipulado, mas o efeito prático se estende ao setor privado e a provedores de serviços gerenciados. Equipamentos de balanceamento de carga como o LoadMaster ficam tipicamente na borda da rede, recebendo tráfego da internet e terminando sessões TLS, o que transforma uma RCE sem autenticação em vetor de acesso inicial de alto valor para movimentação lateral, roubo de credenciais e implantação de ransomware. A janela de três dias — do anúncio em 7 de agosto ao prazo em 10 de agosto — é uma das mais curtas do catálogo e reflete urgência real, não rotina administrativa.
Antes da entrada no KEV, a falha já tinha prova de conceito pública e análise técnica detalhada desde 30 de junho. A diferença agora é a confirmação governamental de exploração ativa, o que remove qualquer justificativa para adiar a atualização de firmware em appliances expostos à internet. A Progress afirmou no boletim original não ter recebido relatos de exploração até a publicação; a entrada no KEV indica que essa janela de inexploração se encerrou.
Detalhe técnico da injeção
A raiz do problema está na função escape_quotes() do binário access, responsável por sanitizar argumentos passados a comandos shell no formato validuser -u '<entrada>'. A função só escapava aspas simples quando a entrada continha pelo menos uma aspa; entradas sem aspas eram devolvidas sem cópia nem validação adicional, deixando caminhos alternativos de injeção abertos quando o fluxo derivava para outros sanitizadores incompletos. O patch na versão 7.2.63.2 reescreveu essa lógica, mas a janela entre a divulgação em 4 de junho e a correção efetiva deixou expostos appliances com API habilitada voltada para a internet.
O vetor é pré-autenticação: basta alcançar a API do LoadMaster para disparar a execução de comandos arbitrários como root no appliance, sem credenciais válidas. A CISA classifica o impacto técnico como total no SSVC, comprometendo confidencialidade, integridade e disponibilidade do balanceador e de todos os serviços que ele protege. Como o LoadMaster inspeciona e termina tráfego de aplicações web, a violação do appliance também pode expor dados sensíveis em trânsito.
Versões afetadas e correção
| Produto | Versão vulnerável | Versão corrigida |
|---|---|---|
| LoadMaster GA | até 7.2.63.1 | 7.2.63.2 |
| LoadMaster LTSF | até 7.2.54.17 | 7.2.54.18 |
| ECS Connection Manager | até 7.2.63.1 | 7.2.63.2 |
| Connection Manager ObjectScale | até 7.2.63.1 | 7.2.63.2 |
A Progress recomenda atualizar para a versão fixa mais recente via Download Hub. Appliances fora de manutenção devem ser atualizados mediante acordo comercial ou, alternativamente, isolados da exposição à internet até a correção. A CVE-2026-33691, de severidade alta e divulgada no mesmo boletim, trata de bypass do WAF por whitespace em nomes de arquivo e deve ser corrigida no mesmo ciclo de atualização.
Plano de ação em três dias
- Inventariar todos os appliances LoadMaster, ECS Connection Manager e Connection Manager para ObjectScale, verificando a string de versão no canto superior direito da interface web ou no console após o boot.
- Atualizar imediatamente para 7.2.63.2 (GA) ou 7.2.54.18 (LTSF) em qualquer instância com API acessível remotamente.
- Restringir o acesso à API a redes de gestão confiáveis se a atualização não puder ser aplicada no prazo, usando ACLs de rede ou regras de firewall de borda.
- Investigar logs de acesso à API em busca de padrões de injeção — sequências longas seguidas de aspas, ponto e vírgula ou palavras-chave de shell — já que não há indicadores de comprometimento oficiais publicados.
- Documentar a adesão ao BOD 26-04, incluindo avaliação de exposição à internet e triagem forense conforme os requisitos da CISA, para organizações sujeitas à diretiva.
Appliances sem API habilitada e sem exposição à internet têm risco menor, mas não zero: a recomendação da Progress é atualizar independentemente do cenário, pois a diferença entre uma configuração considerada interna e um caminho explorável pode ser uma única regra de NAT ou VPN mal configurada. Para ambientes multi-inquilino, a prioridade são os balanceadores que terminam TLS voltados para a internet, seguidos pelos que gerenciam tráfego entre zonas de aplicação.