CVE-2026-8037
Vulnerabilidad de ejecución remota de código por inyección de comandos del SO en la API en Progress ADC Products permite a un atacante no autenticado ejecutar comandos arbitrarios en el dispositivo LoadMaster explotando entradas no saneadas en múltiples endpoints de comandos
Explotada activamente
- En el catálogo CISA de vulnerabilidades explotadas desde el 7 ago 2026
- Las agencias federales de EE. UU. deben corregirla antes del 10 ago 2026 (BOD 22-01)
- Primer ataque observado 26 días después de la divulgación
- Confirmada por sensores, no solo por informes
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fuente: CISA KEV · 25 sept 2026 22 sept 2026 21 sept 2026 18 sept 2026 17 sept 2026 16 sept 2026
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| progress | connection manager for objectscale | < 7.2.63.2 |
| progress | ecs connection manager | < 7.2.63.2 |
| progress | loadmaster | < 7.2.54.18 |
| progress | moveit web application firewall | < 7.2.63.2 |
Artículos relacionados
VulnerabilidadesFallo crítico en los LoadMaster de Kemp: detectados 792 intentos de explotación
CISA detecta 792 intentos de explotación del fallo CVE-2026-8037 en LoadMaster de Kemp. Vulnerabilidad crítica sin autenticación. Actualizar urgentemente.
RansomwareClop explota Windchill: una web shell JSP roba credenciales y datos de diseño
Clop explota CVE-2026-12569 en PTC Windchill para instalar web shell JSP que roba credenciales y datos de diseño. Vulnerabilidad crítica en sistemas PLM.
VulnerabilidadesCuatro vulnerabilidades críticas explotadas contra macOS, SharePoint, VMware vCenter y Windows
CISA actualiza catálogo KEV con cuatro vulnerabilidades críticas explotadas contra macOS, SharePoint, VMware vCenter y Windows. Remediación antes del 21 de agosto.
VulnerabilidadesUna cadena de exploits pública de Telerik RadAsyncUpload encadena un padding oracle hasta lograr RCE sin autenticación
Exploit público encadena padding oracle en Telerik RadAsyncUpload para RCE sin autenticación. Requiere condiciones específicas. Parchea a 2026.2.708
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.