Am 7. August 2026 hat die US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) die Schwachstelle CVE-2026-8037 in ihren Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen und damit bestätigt, dass sie in realen Angriffen aktiv ausgenutzt wird. Die Schwachstelle betrifft Progress Kemp LoadMaster – einen weit verbreiteten Hardware- und virtuellen Load Balancer. Es handelt sich um eine command injection, die es einem nicht authentifizierten Angreifer ermöglicht, beliebige Befehle auf dem Gerät auszuführen. Zivilen US-Bundesbehörden ist im Rahmen der verbindlichen Direktive BOD 26-04 vorgeschrieben, die Schwachstelle bis zum 10. August 2026 zu beheben; die Bedrohung ist jedoch für alle Organisationen relevant, die LoadMaster einsetzen.
Technische Details der Schwachstelle
Nach der Beschreibung der CISA handelt es sich bei CVE-2026-8037 um eine Schwachstelle des Typs command injection (Befehlsinjektion) in Progress LoadMaster. Die Ursache liegt in einer unzureichenden Sanitierung der Benutzereingaben in mehreren Endpunkten zur Befehlsverarbeitung. Dies ermöglicht es einem Angreifer ohne gültige Zugangsdaten, beliebige Systembefehle in das LoadMaster-Gerät einzuschleusen und auszuführen.
Zentrale Merkmale der Schwachstelle:
- Identifikator: CVE-2026-8037
- Typ: командная инъекция (Command Injection)
- Authentifizierung: nicht erforderlich
- Auswirkung: Ausführung beliebiger Befehle auf dem Gerät
- Status der Ausnutzung: in den CISA-KEV-Katalog aufgenommen (bestätigte Ausnutzung)
- Betroffenes Produkt: Progress Kemp LoadMaster
Dass keine Authentifizierung erforderlich ist, macht diese Schwachstelle besonders gefährlich: Load Balancer sind in der Regel aus dem Netzwerk erreichbar und verarbeiten eingehenden Datenverkehr, was die Angriffsfläche vergrößert. Eine erfolgreiche Ausnutzung ermöglicht es dem Angreifer, das Gerät vollständig zu kompromittieren – von der Überwachung und Umleitung des Datenverkehrs bis hin zur Nutzung des Load Balancers als Einstiegspunkt in die interne Infrastruktur.
Beobachtete Ausnutzungsaktivität
Die Aufnahme von CVE-2026-8037 in den KEV-Katalog bedeutet, dass der CISA ausreichende Belege für eine aktive Ausnutzung der Schwachstelle vorliegen. Nach Telemetriedaten von KEVIntel (es ist zu berücksichtigen, dass dies eine Einzelquelle mit begrenzter Verifizierbarkeit ist) wurden in den letzten 41 Tagen 792 Exploit-Versuche von 65 eindeutigen IP-Adressen aus 18 Ländern registriert, darunter Australien, China, Indonesien, Japan, Polen und die USA. Die zuletzt verzeichnete Aktivität datiert vom 4. August 2026.
Diese Zahlen sind mit Vorsicht zu betrachten – sie stammen aus einer einzelnen Quelle und sind nicht unabhängig bestätigt. Der Umstand der Aufnahme in den KEV-Katalog durch die CISA ist jedoch ein verlässlicher Indikator für eine reale Bedrohung.
Auswirkungsbewertung
Progress Kemp LoadMaster wird von Organisationen zur Lastverteilung von Webanwendungen, zur Sicherstellung von Hochverfügbarkeit und für das Management der SSL-Terminierung eingesetzt. Die Kompromittierung eines solchen Geräts birgt Risiken auf mehreren Ebenen:
- Abfangen von Datenverkehr: Ein Angreifer, der die Kontrolle über den Load Balancer erlangt, kann den gesamten darüber laufenden Datenverkehr – einschließlich Authentifizierungsdaten – abfangen, manipulieren oder umleiten
- Laterale Bewegung: Ein Load Balancer nimmt in der Netzwerktopologie eine privilegierte Position ein und kann als Sprungbrett für Angriffe auf interne Server dienen
- Beeinträchtigung der Verfügbarkeit: Die Ausführung beliebiger Befehle ermöglicht es, das Gerät außer Betrieb zu setzen, was zur Nichtverfügbarkeit aller darüber bereitgestellten Dienste führt
Am stärksten gefährdet sind Organisationen, bei denen die Management-Schnittstelle des LoadMaster aus dem Internet oder aus nicht vertrauenswürdigen Netzsegmenten erreichbar ist.
Empfehlungen für die Reaktion
Angesichts der bestätigten Ausnutzung und des kritischen Charakters der Schwachstelle wird folgende Vorgehensweise empfohlen:
- Den Patch umgehend installieren, den Progress für CVE-2026-8037 bereitstellt. US-Bundesbehörden sind verpflichtet, dies bis zum 10. August 2026 gemäß der Direktive BOD 26-04 umzusetzen, doch alle Organisationen sollten diesen Termin als Orientierung betrachten
- Den Netzwerkzugang beschränken zu den Management-Schnittstellen des LoadMaster – diese dürfen nicht aus dem Internet erreichbar sein. Nutzen Sie Access Control Lists (ACL) und Netzsegmentierung
- Die Protokolle der LoadMaster-Geräte auf ungewöhnliche Anfragen an Endpunkte zur Befehlsverarbeitung prüfen, insbesondere solche mit untypischen Zeichen oder Shell-Konstrukten
- Einen Audit durchführen aller LoadMaster-Instanzen in der Infrastruktur – einschließlich virtueller und Cloud-Deployments, die möglicherweise vergessen oder nicht in der Asset-Inventarisierung erfasst wurden
Organisationen, die Progress Kemp LoadMaster einsetzen, müssen das Sicherheitsupdate für CVE-2026-8037 in Stunden- und nicht in Tagesfrist installieren. Die Schwachstelle erfordert für eine Ausnutzung keine Authentifizierung, wird aktiv in Angriffen verwendet und betrifft ein Gerät, das eine kritische Position in der Netzwerkinfrastruktur einnimmt. Bis zur Installation des Patches sollten zumindest die Management-Schnittstellen des LoadMaster von nicht vertrauenswürdigen Netzen isoliert werden.
