Die US-amerikanische Cybersicherheitsbehörde CISA hat Bundesbehörden dazu aufgerufen, eine kritische Sicherheitslücke in Progress LoadMaster Progress LoadMaster patchen zu priorisieren. Der Grund: Die Schwachstelle wird bereits in freier Wildbahn ausgenutzt. Für Organisationen, die LoadMaster-Appliances betreiben, ist das ein klares Signal, schnell zu reagieren.
Gemeldet wurde der Fehler als CVE-2026-8037 mit einer CVSS-Bewertung von 9,6. Laut den verfügbaren Informationen handelt es sich um eine OS-Command-Injection, die ohne Authentifizierung zu Remote Code Execution (RCE) führen kann.
Warum CISA sofortiges Patchen verlangt
In ihrem Vorgehen ordnet CISA die Lücke in das Known Exploited Vulnerabilities-Programm ein. In der Praxis bedeutet das: Betroffene Einrichtungen werden nicht nur über das Risiko informiert, sondern erhalten auch eine enge Frist, um die Lücke zu schließen.
Nach den veröffentlichten Angaben wurde CVE-2026-8037 am Freitag in den KEV-Katalog aufgenommen. CISA räumt Bundesbehörden dabei nur dreieinhalb Tage bis zum Patchen ein. Damit will die Behörde sicherstellen, dass kompromittierende Angriffe nicht weiter Zeit haben, sich auszubreiten.
Technischer Kern der Schwachstelle: Command Injection ohne Authentifizierung
Der technische Hintergrund wird in den Hinweisen zur Lücke beschrieben: Ein Angreifer kann die Schwachstelle über unsanitized API-Eingaben ausnutzen. Entscheidend ist dabei, dass die Attacke auch ohne Authentifizierung funktionieren kann.
Die Beschreibung der Ursache nennt einen Fehler in der Handhabung des Parameters apiuser am accessv2-Endpoint. Laut ZDI-advisory entsteht das Problem durch eine nicht ordnungsgemäß initialisierte Speicherbelegung, bevor der Code darauf zugreift. In der Folge kann ein Angreifer Code im Kontext von root ausführen.
Die Informationen zeigen, dass die Lücke in bestimmten LoadMaster-Ausgaben vorhanden ist. Betroffen sind insbesondere:
- LoadMaster GA Version 7.2.63.1 und älter
- LoadMaster LTSF Version 7.2.54.17 und älter
Das Thema geht jedoch nicht nur LoadMaster selbst an: Gemäß den verfügbaren Hinweisen wirkt sich die Schwachstelle auch auf das ECS Connection Manager, Connection Manager for ObjectScale sowie die MOVEit WAF aus.
Wie Angreifer die Lücke praktisch missbrauchen
Der Ablauf, wie es zur Ausnutzung kommt, wird unter anderem durch Analysen eines Sicherheitsanbieters beschrieben. Demnach spielt die Funktion escape_quotes() eine zentrale Rolle. Diese Funktion verarbeitet Benutzereingaben und berücksichtigt dabei offenbar nicht ausreichend, dass Ausgaben nicht korrekt terminiert oder im Speicher korrekt behandelt werden.
Die Ausnutzung hängt demnach mit zwei Effekten zusammen:
- Die Funktion reserviert zwar einen Heap-Puffer mit malloc(), schreibt jedoch keinen Null-Terminator nach dem escaped Output.
- Dadurch entstehen Out-of-bounds Reads auf Nachbarbereiche, die zuvor freigegeben wurden.
Aus Sicht des Angreifers ist das relevant, weil die Fehlerkombination das Ziel ermöglicht, Inhalte in den betroffenen Speicherbereich zu platzieren. So kann ein Angreifer anschließend eine Command-Injection auslösen, die über die system()-Funktion zur Code-Ausführung führt.
Ausnutzung ab Ende Juni: PoC und frühe Angriffe
Ein wichtiger Punkt für Security-Teams ist der Zeitpunkt: Die öffentlich verfügbare technische Analyse und ein Proof-of-Concept (PoC) wurden offenbar Ende Juni veröffentlicht. Konkret wird genannt, dass die wahrscheinliche In-the-wild-Ausnutzung am 29. Juni begonnen haben dürfte, nachdem die technischen Informationen und der PoC von watchTowr geteilt wurden.
Nur einen Tag später warnte eSentire, dass Angreifer die Lücke unmittelbar nach Veröffentlichung der Analyse anfingen auszunutzen. Gleichzeitig wurde darauf hingewiesen, dass die ersten Versuche zunächst nicht erfolgreich gewesen seien.
Warum LoadMaster besonders kritisch sein kann
Wenn ein System an der Netzgrenze steht, wird es schnell zum bevorzugten Ziel. Das gilt auch für LoadMaster-Appliances, die häufig in DMZ- oder Edge-Strukturen eingesetzt werden. Genau diese Positionierung wird in den Warnungen hervorgehoben.
eSentire beschreibt, dass LoadMaster-Geräte häufig am Rand des Netzwerks platziert sind und Sicht auf zentrale interne Dienste haben können. Wenn eine Angriffsfläche erfolgreich kompromittiert wird, kann das laut dieser Einschätzung den Einstieg erleichtern und weitere bösartige Aktivitäten in der Umgebung ermöglichen.
Betroffene prüfen und konsequent handeln
Für Unternehmen heißt das: Progress LoadMaster patchen ist nicht nur „empfohlen“, sondern wird durch die aktive Ausnutzung praktisch zur Pflichtaufgabe. Security-Teams sollten dabei systematisch vorgehen:
- Versionen prüfen: Abgleich der eingesetzten LoadMaster-Varianten gegen die genannten betroffenen Builds.
- Updates einplanen: Patchen nach den offiziellen Hinweisen des Herstellers und unter Berücksichtigung von Wartungsfenstern.
- Erweiterte Produkte mitbetrachten: Auch ECS Connection Manager, Connection Manager for ObjectScale und MOVEit WAF in die Prüfung einbeziehen.
- Angriffsindikatoren bewerten: Monitoring und Incident-Response-Prozesse an den erwartbaren Mustern ausrichten.
Da die Lücke ohne Authentifizierung ausgenutzt werden kann, reicht es nicht, nur schwache Zugangskontrollen zu überprüfen. Entscheidend ist, die verwundbare Softwarebasis zu bereinigen.
Fazit: Patchen jetzt, bevor weitere Angriffe nachziehen
Die Kombination aus hoher Schwere (CVSS 9,6), möglicher RCE ohne Authentifizierung und beobachteter Ausnutzung macht CVE-2026-8037 zu einem akuten Risiko. CISA hat die Lücke deshalb in den KEV-Katalog aufgenommen und setzt enge Fristen.
Wenn Sie LoadMaster betreiben, sollten Sie Progress LoadMaster patchen als kurzfristige Priorität behandeln. Je schneller die betroffene Version aktualisiert wird, desto geringer ist die Wahrscheinlichkeit, dass Angreifer die vorhandene Exposure weiter ausnutzen.
