A CISA adicionou a falha CVE-2026-8037 no Progress Kemp LoadMaster ao catálogo Known Exploited Vulnerabilities (KEV) em 7 de agosto de 2026, confirmando exploração ativa e impondo um prazo de remediação de apenas três dias. A vulnerabilidade, classificada como crítica com pontuação CVSS 9,8, permite que um atacante remoto não autenticado execute comandos arbitrários no appliance por meio de injeção de comando na API. Administradores que operam versões GA v7.2.63.1 ou LTSF v7.2.54.17 e anteriores precisam aplicar o firmware corrigido imediatamente, pois o prazo estabelecido pela agência expira em 10 de agosto de 2026.
Detalhes técnicos da vulnerabilidade
A Progress divulgou o boletim de segurança em junho de 2026 confirmando que a falha CVE-2026-8037 é uma vulnerabilidade de injeção de comando do sistema operacional na API do LoadMaster, categorizada como CWE-77, que permite a um atacante não autenticado executar comandos arbitrários no appliance explorando entradas não sanitizadas em múltiplos endpoints de comando. A gravidade decorre da combinação de três fatores: dispensa de autenticação, acesso pela rede e controle total sobre confidencialidade, integridade e disponibilidade do equipamento. Atribuída ao fabricante, a pontuação CVSS 3.1 calculada pela Progress chegou a 9,6 (crítica), enquanto o NVD reavaliou para 9,8 com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o nível máximo de impacto.
O escopo de produtos afetados extrapola o LoadMaster tradicional e alcança quatro linhas: Progress Kemp LoadMaster (ramos GA e LTSF), Progress ECS Connection Manager, Progress Connection Manager for ObjectScale e MOVEit WAF. Todos compartilham a mesma base de firmware e o mesmo vetor de ataque. O registro no NVD anexou referências de prova de conceito publicada pela watchtowr labs, confirmando que a cadeia explora um heap não inicializado para alcançar RCE pré-autenticação, o que eleva a urgência da correção.
Cronologia e prazo do KEV
O trajeto da falha até o KEV foi curto. A Progress publicou a correção em 17 de junho de 2026, junto do boletim que confirmava a existência de proof-of-concept. No mesmo mês, a CISA ajustou a classificação SSVC de none para poc, indicando que a exploração tinha código funcional disponível. Em 7 de agosto de 2026 a agência elevou o SSVC para active exploitation e incluiu o CVE no KEV, fixando o prazo final em 10 de agosto de 2026 — três dias corridos, um dos menores janelas já concedidas para infraestrutura de rede de borda.
O marco regulatório por trás do prazo é a diretiva BOD 26-04, que obriga agências federais americanas a priorizar correções com base em risco e a aplicar os Forensics Triage Requirements quando a remediação não é imediata. Para organizações fora do governo federal, o KEV funciona como sinal de prioridade máxima: appliances de balanceamento expostos à internet tornam-se alvos preferenciais assim que a prova de conceito circula.
Versões afetadas e firmware de correção
A tabela abaixo resume os produtos impactados e as versões mínimas seguras divulgadas pela Progress. Clientes com contrato de manutenção ativo devem baixar o firmware no Download Hub; demais casos exigem contato comercial.
| Produto | Versões vulneráveis | Versão corrigida |
|---|---|---|
| LoadMaster GA | v7.2.63.1 e anteriores | v7.2.63.2 |
| LoadMaster LTSF | v7.2.54.17 e anteriores | v7.2.54.18 |
| ECS Connection Manager | v7.2.63.1 e anteriores | v7.2.63.2 |
| Connection Manager for ObjectScale | v7.2.63.1 e anteriores | v7.2.63.2 |
| MOVEit WAF | v7.2.63.1 e anteriores | v7.2.63.2 |
O segundo CVE citado no mesmo boletim, CVE-2026-33691 (alto), trata de bypass do OWASP Core Rule Set por preenchimento de espaços em nomes de arquivo e afeta apenas a camada WAF do LoadMaster, não a API de gerenciamento. Ambos estão corrigidos nas versões listadas acima.
Plano de remediação em 5 passos
- Inventariar appliances: localize todas as instâncias de LoadMaster, ECS Connection Manager, Connection Manager for ObjectScale e MOVEit WAF, verificando a string de versão no canto superior direito da interface web ou no console de boot.
- Isolar da exposição pública: remova da internet as interfaces de gerenciamento e API sempre que possível, restringindo acesso a VPN ou faixas IP internas confiáveis enquanto o patch não é aplicado.
- Aplicar o firmware corrigido: faça upgrade para GA v7.2.63.2 ou LTSF v7.2.54.18, validando o checksum XML publicado pela Progress antes de instalar.
- Executar triagem forense: inspecione logs de acesso à API em busca de payloads anômalos ou comandos inesperados desde 17 de junho de 2026, data de divulgação da prova de conceito, conforme os Forensics Triage Requirements da BOD 26-04.
- Notificar e documentar: registre a aplicação do patch, o resultado da triagem forense e qualquer indicador de comprometimento encontrado, comunicando as equipes de resposta a incidentes conforme a política interna.
O contexto de risco é alto porque LoadMaster e produtos correlatos funcionam como ponto de entrada para tráfego de aplicações críticas; um atacante que obtém execução remota de código no appliance pode interceptar, redirecionar ou bloquear serviços inteiros. Cobertura prévia já mostrava a gravidade da falha desde junho, quando a prova de conceito foi publicada, e o cenário se agravou com o registro de exploração ativa confirmada pela CISA agora em agosto. Quem opera a plataforma deve tratar a correção como incidente de prioridade máxima antes do vencimento do prazo em 10 de agosto.