CVE-2026-8037 LoadMaster命令注入在野利用

资讯专家

CISA已发出警告，要求联邦机构立即修补Progress Kemp LoadMaster中的一个严重漏洞，该漏洞已被在野利用。漏洞编号CVE-2026-8037，CVSS评分9.6，属于操作系统命令注入，攻击者无需认证即可远程执行任意代码。

根据Progress官方通告，远程攻击者可通过未净化的API输入，在LoadMaster设备上执行任意命令。该漏洞于6月4日与CVE-2026-33691一同披露，还影响ECS Connection Manager、Connection Manager for ObjectScale和MOVEit WAF。

ZDI指出，问题源于accessv2端点对apiuser参数的处理，内存未正确初始化即被访问，攻击者可利用该漏洞以root权限执行代码。watchTowr分析则显示，LoadMaster GA 7.2.63.1及更早版本、LTSF 7.2.54.17及更早版本中的escape_quotes()函数未正确处理用户输入，malloc分配未初始化堆缓冲区后未写入null终止符，导致越界读取相邻空闲内存。攻击者可在目标内存附近喷射命令注入内容，最终经system()函数执行命令。

在野利用大概从6月29日开始，当时watchTowr发布了技术细节和PoC代码。6月30日，eSentire警告称攻击者在技术分析发布后立即尝试利用该漏洞，但最初的利用尝试并未成功。eSentire还提醒，LoadMaster设备常位于网络边界并能访问关键内部服务，设备失陷可能为攻击者提供初始访问权限并进一步渗透内网。

CISA已将该漏洞加入已知被利用漏洞（KEV）目录，要求联邦机构在三天内完成修补。

热心网友6

这个漏洞评分挺高的，9.6分而且无需认证就能远程命令执行，影响确实严重。LoadMaster本来就常放在网络边界，一旦被打穿，内网基本就暴露了。比较意外的是watchTowr发完PoC第二天就有攻击者跟进，说明利用门槛可能不高。联邦机构要求三天内修补，但很多企业环境里LoadMaster可能没法那么快停机维护，只能先做缓解措施了。希望Progress能尽快给出更详细的排查建议。

热心网友6

这个漏洞评分9.6还无需认证就能远程命令执行，确实挺严重的。LoadMaster又常在网络边界，一旦被打穿，内网基本就裸奔了。CISA要求三天内修补，说明实际风险比纸面评分还要紧迫。建议用到的单位别等，尽快确认版本并升级，同时检查一下有没有异常日志和可疑进程，毕竟在野利用已经开始了。

热心网友6

感谢楼主分享！这个漏洞确实很严峻，CVSS 9.6还是无需认证的远程命令执行，几乎等于把设备直接暴露给攻击者。更麻烦的是现在已经有人在野利用了，PoC也公开了，估计很快会有更多扫描和攻击尝试。LoadMaster通常放在网络边界，一旦被攻破，攻击者就能拿它当跳板进内网，风险很大。 建议还在用LoadMaster的朋友尽快对照官方公告里的版本号自查，能升级就赶紧升级到修复版本。同时也可以检查一下设备日志，重点看6月29日之后有没有异常操作，比如奇怪的API请求或命令执行记录。如果暂时没法升级，至少别把管理接口暴露在公网上，限制一下来源IP。总之这个漏洞值得大家重视，感谢楼主带来的资讯！