SecBoard
Zurück zur CVE-Übersicht

CVE-2026-8037

CRITICAL(9.6)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Risk Signal Score84/100 — KRITISCH
  • CVSS 9.6 — Kritisch
  • EPSS 100% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

Erwähnungen (letzte 60 Tage)

Artikel

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

99.6%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.6

Technische Schwere

SecBoard-Einordnung

CVE-2026-8037 ist eine kritische Schwachstelle in Progress ADC Produkten, einschließlich LoadMaster, Connection Manager for ObjectScale, ECS Connection Manager und MoveIT . Es handelt sich um eine OS Command Injection () Schwachstelle in der API, die es einem nicht authentifizierten Angreifer ermöglicht, beliebige Befehle auf der LoadMaster-Appliance auszuführen. Dies geschieht durch die Ausnutzung von nicht bereinigten Eingaben in mehreren Befehls-Endpunkten, was zu einer vollständigen Kompromittierung des Systems führen kann. Die Schwachstelle wird als kritisch eingestuft mit einem CVSS-Score von 9.6 und einer sehr hohen Exploit-Wahrscheinlichkeit ( 99%). Besonders besorgniserregend ist, dass CVE-2026-8037 in 's () Katalog aufgeführt ist, was bedeutet, dass sie aktiv ausgenutzt wird und ein unmittelbares Risiko darstellt. Security-Teams sollten umgehend alle betroffenen Progress ADC Produkte identifizieren und die vom Hersteller bereitgestellten Patches oder Updates anwenden. Da die Schwachstelle aktiv ausgenutzt wird, ist eine schnelle Reaktion entscheidend, um potenzielle Angriffe zu verhindern und die Integrität der Systeme zu gewährleisten. Zusätzliches Monitoring auf ungewöhnliche Aktivitäten ist ebenfalls ratsam.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

OS Command Injection Remote Code Execution Vulnerability in API in Progress ADC Products allows an un-authenticated attacker to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in multiple command endpoints

Erkennung & Indikatoren

Ausnutzung

Active exploitation in the wild, added to CISA KEV. eSentire observed exploitation attempts starting June 29, 2026, though largely unsuccessful. KEVIntel recorded 792 exploitation attempts from 65 unique IP addresses across 18 countries over 41 days, with the last activity on August 4, 2026. A proof-of-concept (PoC) exploit is publicly available.

Behobene Versionen

  • GA v7.2.63.2
  • LTSF v7.2.54.18

Threat-Hunting-Queries

The vulnerability is a pre-authentication OS command injection via unsanitized input in multiple API command endpoints, specifically targeting the /accessv2 endpoint with crafted JSON. Detection should focus on unusual command execution originating from the LoadMaster appliance, especially after API requests to /accessv2 with suspicious parameters or excessive JSON keys.

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName =~ "accessv2" or InitiatingProcessCommandLine contains "/accessv2"
| where ProcessCommandLine contains "'" and ProcessCommandLine matches regex "[a-zA-Z0-9_]+\s*=\s*'.*\s*\|\|\s*.*'"
| project DeviceName, InitiatingProcessCommandLine, ProcessCommandLine, FileName, InitiatingProcessParentFileName, InitiatingProcessCreationTime, ProcessCreationTime, RemoteIP, RemotePort

Splunk SPL

index=your_loadmaster_logs (source="*accessv2*" OR sourcetype="loadmaster_api_logs") (apiuser=* OR "extra_json_key"=*) (command_execution OR shell_command) | regex _raw="'[^']+\s*\|\|\s*[^']+'" | table _time, host, source, sourcetype, user, action, command, client_ip

Sigma

title: Progress Kemp LoadMaster CVE-2026-8037 Command Injection
status: experimental
description: Detects potential exploitation attempts against Progress Kemp LoadMaster CVE-2026-8037 via command injection in API requests.
references:
    - https://thehackernews.com/2026/07/latest-progress-kemp-loadmaster-pre.html
logsource:
    product: linux
    service: process_creation
detection:
    selection:
        ParentImage|endswith: '/accessv2'
        CommandLine|contains:
            - '"apiuser":"'
            - '||'
            - '`'
            - '$('
            - ';'
    condition: selection
fields:
    - CommandLine
    - ParentCommandLine
    - Image
level: critical

Elastic ES|QL

from process where event.type == "start" and (process.parent.executable == "/accessv2" or process.parent.command_line == "/accessv2") and (process.command_line : "apiuser:*" or process.command_line : "*||*" or process.command_line : "*`*" or process.command_line : "*$()*" or process.command_line : "*;*")

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Indikatoren

IP-Adressen (3)

  • 192.42.116.58
  • 192.42.116.105
  • 146.70.139.154

Übernommen wurden nur Indikatoren, die wörtlich in einer Hersteller- oder Research-Quelle standen.

Betroffene Produkte

  • cpe:2.3:a:progress:connection_manager_for_objectscale:*:*:*:*:*:*:*:*
  • cpe:2.3:a:progress:ecs_connection_manager:*:*:*:*:*:*:*:*
  • cpe:2.3:a:progress:moveit_web_application_firewall:*:*:*:*:*:*:*:*
  • cpe:2.3:o:progress:loadmaster:*:*:*:*:*:*:*:*
  • cpe:2.3:o:progress:loadmaster:*:*:*:*:*:*:*:*

In diesen Analysen erwähnt

CISA warnt: Kritische Progress LoadMaster RCE-Schwachstelle (CVE-2026-8037) wird aktiv ausgenutztSecBoardWochenlage KW32: Aktive Exploits in TeamCity und N-able, Snowflake-Hacker verurteiltSecBoard

Referenzen