Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) vào thứ Sáu đã thêm một lỗi bảo mật mức độ nghiêm trọng ảnh hưởng đến Progress Kemp LoadMaster vào danh mục Các lỗ hổng đã biết bị khai thác (KEV), sau các báo cáo về việc bị khai thác tích cực trong thực tế.
Lỗ hổng này, được theo dõi là CVE-2026-8037 (điểm CVSS: 9.6), là một lỗi command injection có thể bị vũ khí hóa để thực thi mã tùy ý trên các thiết bị dễ bị tấn công.
"Progress LoadMaster chứa một lỗ hổng command injection cho phép kẻ tấn công chưa xác thực thực thi các lệnh tùy ý trên thiết bị LoadMaster bằng cách khai thác dữ liệu đầu vào không được làm sạch trong nhiều endpoint lệnh," CISA cho biết.
Trong một phân tích được công bố vào tháng 6 năm 2026, watchTowr Labs mô tả vấn đề này nằm trong một hàm có tên là "escape_quotes()" bên trong ứng dụng cân bằng tải và nó bắt nguồn từ việc xử lý không đúng cách dữ liệu đầu vào do người dùng cung cấp, cuối cùng cho phép thực hiện command injection.
Khai thác thành công lỗ hổng này có thể cho phép kẻ tấn công chưa xác thực chạy các lệnh tùy ý trên thiết bị bị ảnh hưởng mà không cần sở hữu thông tin đăng nhập hợp lệ.
Việc bổ sung này diễn ra chỉ hơn một tháng sau khi eSentire cho biết họ đang chứng kiến các nỗ lực khai thác tích cực nhắm vào lỗ hổng này, mặc dù lưu ý rằng những nỗ lực đó phần lớn không thành công.
Theo nhà cung cấp bảo mật của Canada, các cuộc tấn công bắt nguồn từ các địa chỉ IP sau:
- 192.42.116[.]58
- 192.42.116[.]105
- 146.70.139[.]154
Theo dữ liệu đo lường được ghi nhận bởi KEVIntel, tổng cộng 792 nỗ lực khai thác đã được quan sát thấy trong 41 ngày qua từ 65 địa chỉ IP duy nhất thuộc 18 quốc gia, bao gồm Úc, Trung Quốc, Indonesia, Nhật Bản, Ba Lan và Hoa Kỳ. Hoạt động gần nhất được ghi nhận vào ngày 4 tháng 8 năm 2026, khi có 5 nỗ lực khai thác bị phát hiện.
Trước tình hình bị khai thác tích cực, các cơ quan thuộc Nhánh Hành pháp Dân sự Liên bang (FCEB) được khuyến nghị áp dụng các bản vá cần thiết trước ngày 10 tháng 8 năm 2026, để bảo vệ mạng của mình theo Chỉ thị Hoạt động Ràng buộc (BOD) 26-04.
