A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA, alertou na sexta-feira que hackers estão explorando uma vulnerabilidade crítica de injeção de comandos no Progress Kemp LoadMaster e adicionou a falha ao seu catálogo de Vulnerabilidades Conhecidas Exploradas, o KEV, após relatos de exploração ativa em ambiente real.
O Kemp LoadMaster é um controlador de entrega de aplicações, conhecido como ADC, e um balanceador de carga de servidores amplamente usado por empresas de tecnologia e órgãos governamentais em todo o mundo, como Amazon e a Força Aérea dos Estados Unidos. A plataforma é usada para distribuir o tráfego web de entrada entre vários servidores, otimizar o desempenho dos aplicativos e garantir alta disponibilidade dos serviços. Segundo a Progress Software, 80% das empresas da Fortune 500 utilizam seus produtos e serviços, e o Kemp LoadMaster conta com mais de 100.000 implantações em todo o mundo.
Identificada como
CVE-2026-8037
e com pontuação CVSS de 9,6, a falha permite que atacantes não autenticados executem comandos arbitrários em appliances LoadMaster sem patch ao explorar entradas de API não sanitizadas em vários endpoints de comando.
“O Progress LoadMaster contém uma vulnerabilidade de injeção de comandos que permite que um atacante sem autenticação execute comandos arbitrários no aparelho LoadMaster ao explorar entrada não sanitizada em múltiplos pontos de comando”, informou a CISA.
Em uma análise publicada em junho de 2026, a watchTowr Labs descreveu o problema como presente em uma função chamada “escape_quotes()” dentro da aplicação de balanceamento de carga e afirmou que a falha decorria do tratamento inadequado de entradas fornecidas pelo usuário, o que acabava permitindo a injeção de comandos.
Se a exploração for bem-sucedida, um atacante sem autenticação pode executar comandos arbitrários no aparelho afetado sem precisar de credenciais válidas.
Em junho, a Progress Software publicou atualizações de segurança para corrigir a vulnerabilidade no Kemp LoadMaster, afetando as versões GA v7.2.63.1 ou anteriores e LTSF v7.2.54.17 ou anteriores. A empresa também confirmou que o problema impacta todas as versões do MOVEit WAF, o firewall de aplicações web, anteriores à GA v7.2.63.2.
De acordo com a Shadowserver, organização que monitora ameaças na internet, quase 300 instâncias do Kemp LoadMaster estão expostas online. No entanto, não há informação sobre quantas delas são honeypots ou já foram protegidas contra ataques ligados à
CVE-2026-8037
.
A inclusão no catálogo ocorre pouco mais de um mês depois de a eSentire afirmar que vinha observando tentativas de exploração ativa contra a falha, embora tenha observado que essas ações foram, em grande parte, malsucedidas.
Segundo a empresa canadense de segurança, os ataques partiram dos seguintes endereços IP:
192.42.116[.]58
192.42.116[.]105
146.70.139[.]154
De acordo com dados de telemetria coletados pela KEVIntel, foram registradas 792 tentativas de exploração nos últimos 41 dias, vindas de 65 endereços IP únicos em 18 países, incluindo Austrália, China, Indonésia, Japão, Polônia e Estados Unidos. A última atividade foi registrada em 4 de agosto de 2026, quando cinco tentativas de exploração foram detectadas.
Na sexta-feira, a CISA determinou que as agências da Administração Civil Federal dos Estados Unidos protejam seus servidores em até três dias, conforme exigido pela Diretiva Operacional Vinculante 26-04. “Esse tipo de vulnerabilidade é um vetor de ataque frequente para atores cibernéticos maliciosos e representa riscos significativos para o ambiente federal”, alertou a agência.
Embora a BOD 26-04 se aplique apenas a órgãos do governo dos Estados Unidos, a CISA pediu que todos os defensores priorizem a aplicação do patch para a vulnerabilidade
CVE-2026-8037
e bloqueiem tentativas de ataque.
No mês passado, a Progress também enviou um e-mail a clientes do ShareFile que usavam os Storage Zone Controllers, orientando-os a desligar imediatamente os servidores após identificar o que descreveu, na ocasião, como uma “ameaça externa crível” contra o software de compartilhamento seguro de arquivos hospedado localmente.
Dias depois, a empresa lançou patches de segurança para uma vulnerabilidade zero-day de alta gravidade de path traversal no ShareFile, mas informou que não havia indícios de acesso não autorizado a contas ou dados de clientes do ShareFile e que não identificou nenhuma ameaça ativa.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...