Cve-2026-8037

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre uma vulnerabilidade crítica de injeção de comandos no Kemp LoadMaster, um controlador de entrega de aplicativos amplamente utilizado por empresas de tecnologia e entidades governamentais, incluindo a Amazon e a Força Aérea dos EUA. A falha, identificada como CVE-2026-8037, permite que atacantes não autenticados executem comandos arbitrários em dispositivos LoadMaster não corrigidos, explorando entradas de API não tratadas. A Progress Software, responsável pelo Kemp LoadMaster, lançou atualizações de segurança em junho para corrigir a vulnerabilidade, que afeta versões GA v7.2.63.1 ou anteriores e LTSF v7.2.54.17 ou anteriores. A CISA incluiu a falha em seu catálogo de vulnerabilidades ativamente exploradas, exigindo que agências federais dos EUA protejam seus servidores em até três dias. Embora a vulnerabilidade tenha sido identificada, cerca de 300 instâncias do Kemp LoadMaster estão expostas online, levantando preocupações sobre a segurança dessas implementações. A CISA enfatizou a necessidade de priorizar a correção da CVE-2026-8037 para evitar ataques futuros.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou uma vulnerabilidade de alta severidade, identificada como CVE-2026-8037, ao seu catálogo de Vulnerabilidades Conhecidas Exploited (KEV). Essa falha, com uma pontuação CVSS de 9.6, é uma vulnerabilidade de injeção de comando que permite que atacantes não autenticados executem comandos arbitrários em dispositivos afetados. A análise da watchTowr Labs revelou que a vulnerabilidade reside em uma função chamada ’escape_quotes()’, que não trata adequadamente a entrada do usuário, possibilitando a injeção de comandos. Apesar de esforços de exploração ativa, a maioria das tentativas, que totalizaram 792 em 41 dias, foram malsucedidas. No entanto, a CISA recomenda que as agências do governo federal dos EUA apliquem patches até 10 de agosto de 2026 para proteger suas redes, conforme a Diretiva Operacional Vinculativa (BOD) 26-04. A vulnerabilidade é uma preocupação significativa, pois pode comprometer a segurança de redes que utilizam o LoadMaster, amplamente empregado em ambientes corporativos.

Uma vulnerabilidade crítica no Progress Kemp LoadMaster, identificada como CVE-2026-8037, permite que atacantes não autenticados executem comandos arbitrários como root ao enviar uma solicitação manipulada para sua API. Com uma pontuação CVSS de 9.8, essa falha é especialmente perigosa, pois reside em uma função que deveria sanitizar a entrada do usuário, mas falha em limpar um buffer de memória e não adiciona um terminador nulo ao final da string sanitizada. Isso permite que um invasor controle o que está na memória adjacente e injete comandos maliciosos. A vulnerabilidade afeta versões GA v7.2.63.1 e anteriores, e LTSF v7.2.54.17 e anteriores, quando a API está habilitada. A Progress lançou correções em 4 de junho de 2026, e até o momento, não há relatos de exploração ativa. No entanto, a publicação de um conceito de prova por pesquisadores da watchTowr Labs destaca a urgência de aplicar as atualizações. Além disso, a Progress também corrigiu uma segunda falha crítica relacionada ao bypass de WAF. Dada a gravidade da situação, é aconselhável que os administradores atualizem suas versões do LoadMaster imediatamente.