CVE-2026-8037
Vulnerabilità di esecuzione di codice da remoto tramite OS Command Injection nell'API dei prodotti ADC Progress consente a un attaccante non autenticato di eseguire comandi arbitrari sull'appliance LoadMaster sfruttando input non sanificato in molteplici endpoint di comando
Sfruttata attivamente
- Nel catalogo CISA delle vulnerabilità sfruttate dal 7 ago 2026
- Le agenzie federali statunitensi devono correggerla entro il 10 ago 2026 (direttiva BOD 22-01)
- Primo attacco osservato 26 giorni dopo la divulgazione
- Confermata dai sensori, non solo da segnalazioni
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fonte: CISA KEV · 9 nov 2026 6 nov 2026 1 nov 2026 28 ott 2026 27 ott 2026 25 ott 2026
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HProdotti coinvolti
| Vendor | Prodotto | Versioni |
|---|---|---|
| progress | connection manager for objectscale | < 7.2.63.2 |
| progress | ecs connection manager | < 7.2.63.2 |
| progress | loadmaster | < 7.2.54.18 |
| progress | moveit web application firewall | < 7.2.63.2 |
Articoli correlati
L'exploit pubblico di Telerik RadAsyncUpload concatena un padding oracle e porta all'esecuzione di codice remoto senza autenticazione
Exploit concatena padding oracle e deserializzazione in Telerik RadAsyncUpload per RCE non autenticata; serve chiave custom. Aggiornare a 2026.2.708.
Clop sfrutta Windchill: una web shell JSP ruba credenziali e dati di progettazione
Gruppo Clop sfrutta CVE-2026-12569 in PTC Windchill per installare una web shell JSP che ruba credenziali, dati di progettazione e keystore applicativo.
Quattro falle critiche sfruttate contro macOS, SharePoint, VMware vCenter e Windows
Scopri le quattro falle critiche sfruttate contro macOS, SharePoint, VMware e Windows. CISA richiede remediation entro il 21 agosto 2026.
Falla critica nei LoadMaster Kemp: 792 tentativi di sfruttamento rilevati
Vulnerabilità CVE-2026-8037 in Progress Kemp LoadMaster con CVSS 9.6. 792 tentativi di sfruttamento da 65 IP in 18 paesi. Aggiornamenti urgenti richiesti.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.