CISA segnala che la falla di sicurezza CVE-2026-8037 in Progress Kemp LoadMaster è ora sfruttata attivamente da hacker. L’agenzia invita a installare subito gli aggiornamenti per evitare compromissioni, dato il rischio elevato per aziende e enti pubblici.
La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha lanciato un allarme urgente: una vulnerabilità critica di tipo command injection in Progress Kemp LoadMaster è attualmente oggetto di attacchi informatici. Kemp LoadMaster è un Application Delivery Controller (ADC) e bilanciatore di carico molto diffuso tra aziende tecnologiche e pubbliche amministrazioni, tra cui Amazon e la U.S. Air Force, per la gestione del traffico web e l’ottimizzazione delle prestazioni applicative. Secondo Progress Software, l’azienda produttrice, oltre l’80% delle aziende Fortune 500 utilizza i suoi prodotti, con più di 100.000 installazioni di LoadMaster nel mondo.
Dettagli della vulnerabilità e impatto
La falla, identificata come CVE-2026-8037, consente a un attaccante non autenticato di eseguire comandi arbitrari sui dispositivi LoadMaster non aggiornati, sfruttando input API non filtrati in diversi endpoint. Progress Software ha rilasciato a giugno aggiornamenti di sicurezza per correggere il problema nelle versioni Kemp LoadMaster GA v7.2.63.1 e precedenti, e LTSF v7.2.54.17 e precedenti. La vulnerabilità interessa anche tutte le versioni MOVEit WAF precedenti alla GA v7.2.63.2. Secondo Shadowserver, circa 300 istanze LoadMaster risultano esposte online, ma non è chiaro quante siano effettivamente vulnerabili o già protette.
Azioni richieste e raccomandazioni CISA
CISA ha inserito la vulnerabilità nel catalogo delle minacce attivamente sfruttate, ordinando alle agenzie federali statunitensi di mettere in sicurezza i server entro tre giorni, come previsto dalla Binding Operational Directive 26-04. L’agenzia sottolinea che questa tipologia di vulnerabilità rappresenta un vettore di attacco frequente e un rischio significativo per le infrastrutture federali. Sebbene la direttiva sia obbligatoria solo per le agenzie governative USA, CISA raccomanda a tutte le organizzazioni di dare priorità all’installazione delle patch per CVE-2026-8037.
Precedenti e rischi per altri prodotti Progress
Nel mese precedente, Progress aveva già avvisato i clienti ShareFile che utilizzano Storage Zone Controllers di spegnere immediatamente i server a causa di una “credibile minaccia esterna” rivolta al software di file sharing on-premises. Successivamente sono state rilasciate patch per una vulnerabilità zero-day ad alta gravità in ShareFile, ma l’azienda ha dichiarato di non aver rilevato accessi non autorizzati o minacce attive ai dati dei clienti.
