Progress LoadMaster CVE-2026-8037: 792 Angriffe erfasst

Progress LoadMaster CVE-2026-8037, eine Command-Injection-Schwachstelle mit einem CVSS-Wert von 9.6, wurde bereits mit 792 bestätigten Exploit-Versuchen von 65 IP-Adressen über 41 Tage hinweg angegriffen — und die CISA hat sie am 7. August in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen. Läuft Ihr Load Balancer noch auf einem ungepatchten Stand, hat ihn das Scanning mit hoher Wahrscheinlichkeit bereits gefunden.

Was ist passiert

CVE-2026-8037 ist eine Command-Injection-Schwachstelle (CWE-77) in der Management-API von Progress Kemp LoadMaster. Die Ursache liegt in der eigenen escape_quotes()-Funktion der Appliance: Ein Heap-Puffer wird zwar allokiert, die darin escapten Strings werden aber nicht korrekt mit einem Null-Byte abgeschlossen — das erzeugt ein Out-of-Bounds-Read, durch das vom Angreifer kontrollierter Inhalt direkt in einen Shell-Befehl gelangt. Weder Authentifizierung noch Zugangsdaten noch Nutzerinteraktion sind erforderlich — eine einzige präparierte API-Anfrage genügt, um beliebige Befehle mit Root-Rechten auf der Appliance auszuführen.

Progress lieferte den Fix bereits im Juni, in LoadMaster GA 7.2.63.2 und LTSF 7.2.54.18. Die Schwachstelle blieb rund zwei Monate lang unbemerkt, bevor Angreifer darauf aufmerksam wurden: Die CISA nahm CVE-2026-8037 am 7. August 2026 in ihren KEV-Katalog auf, nachdem aktive Ausnutzung bestätigt wurde, mit einer Frist für Bundesbehörden zum 10. August gemäß Binding Operational Directive 26-04 — eine Frist, die bereits verstrichen ist. Die Telemetrie zeigt 792 einzelne Exploit-Versuche von 65 IP-Adressen über ein Fenster von 41 Tagen — ein Muster, das eher zu breitem, automatisiertem, internetweitem Scanning passt als zu einer gezielten Kampagne gegen eine einzelne Organisation. Shadowserver zählt rund 300 LoadMaster-Instanzen, die weiterhin mit exponierter Management-API aus dem Internet erreichbar sind.

Warum das wichtig ist

Ein Load Balancer sitzt direkt am Netzwerkrand, vor genau den Anwendungen, die eine Organisation für wichtig genug hält, um einen zu benötigen: ERP-Webportale, VPN-Konzentratoren, für Remote-Mitarbeiter freigegebene interne Tools, kundenseitige Dienste. Befehlsausführung mit Root-Rechten auf dieser Appliance gibt einem Angreifer einen Fuß in der Tür mit Einblick in jede Anfrage, die der Load Balancer weiterleitet, plus eine Startrampe für laterale Bewegung in alles, was dahinter liegt. Für IT-Teams im deutschen Mittelstand — die Edge-Appliances wie LoadMaster oft mit schlanker oder gar keiner dedizierten 24/7-Überwachung betreiben — ist eine zweimonatige Lücke zwischen Patch-Verfügbarkeit und Massen-Ausnutzung kein beruhigender Sicherheitsabstand; es ist genau das Zeitfenster, das diese Angriffsklasse ausnutzen soll, um Organisationen zu erwischen, die noch auf monatlichem oder langsamerem Patch-Rhythmus arbeiten.

Was Sie jetzt tun sollten

1. Sofort patchen: Auf LoadMaster GA 7.2.63.2 oder LTSF 7.2.54.18 aktualisieren — beide sind seit Juni verfügbar, dieser Fix liegt also möglicherweise bereits in Ihrer Warteschlange, aber noch nicht ausgerollt.
2. Prüfen: Feststellen, ob die Management-API Ihres LoadMaster überhaupt aus dem öffentlichen Internet erreichbar ist; Shadowservers Zählung von rund 300 exponierten Instanzen legt nahe, dass viele Organisationen nicht wissen, dass ihre dazugehört.
3. Mitigieren, falls heute nicht gepatcht werden kann: Management-API sofort auf ein internes Management-VLAN oder ausschließlich VPN-Zugriff beschränken — nicht internetseitig belassen, während ein Patch-Fenster geplant wird.
4. Monitoring: LoadMaster-Zugriffslogs auf wiederholte fehlerhafte API-Anfragen prüfen, die dem escape_quotes()-Ausnutzungsmuster entsprechen, und jede unerklärte Befehlsausführung auf der Appliance als bestätigte Kompromittierung behandeln, nicht als Fehlalarm.

Wenn Ihre Organisation heute nicht bestätigen kann, ob die Management-API internetseitig erreichbar ist, ist diese Unsicherheit selbst bereits der Befund — als dringend behandeln.

DIESEC Einschätzung

Dies ist die vierte eigenständige CISA-KEV-Aufnahme, die wir innerhalb von acht Tagen über vier völlig verschiedene Produkte hinweg verfolgt haben — ein Tempo, das die meisten Patch-Zyklen im Mittelstand mit monatlichem Reviewrhythmus schlicht nicht mithalten können. Edge-Appliances wie Load Balancer bekommen oft eine „einmal eingerichtet, dann vergessen“-Behandlung, sobald sie laufen; dies ist die vierzehnte Netzwerk-Edge-Produktlinie, die wir 2026 bereits im großen Stil ausgenutzt sehen — und das Muster wiederholt sich, weil die Behandlung sich wiederholt.

Nicht sicher, ob die Edge-Appliances Ihrer Organisation tatsächlich im Rhythmus gepatcht werden, in dem Angreifer inzwischen scannen? Kontaktieren Sie DIESEC für eine schnelle Analyse der externen Angriffsfläche und des Patch-Rhythmus.

Quellen: The Hacker News | BleepingComputer
Veröffentlicht: 2026-08-19 | Kategorie: Tägliche News | ~4 Min. Lesezeit