ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), cuma günü Progress Kemp LoadMaster'ı etkileyen kritik düzeydeki bir güvenlik açığını, aktif olarak sömürüldüğüne dair raporların ardından Bilinen Sömürülen Zafiyetler (KEV) kataloğuna ekledi. Ajans, 41 gün boyunca 65 farklı IP adresinden toplam 792 sömürü girişimi kaydedildiğini de belirtti.
CVE-2026-8037 koduyla takip edilen bu zafiyet (CVSS skoru: 9.6), bir komut enjeksiyonu açığı olarak biliniyor. Saldırganlar bu açığı silahlandırarak, hassas cihazlarda keyfi kod yürütme işlemleri gerçekleştirebiliyor.
CISA konuyla ilgili yaptığı açıklamada, "Progress LoadMaster, birden fazla komut uç noktasındaki temizlenmemiş girdileri istismar ederek, kimliği doğrulanmamış bir saldırganın LoadMaster cihazında keyfi komutlar yürütmesine olanak tanıyan bir komut enjeksiyonu zafiyeti içeriyor" ifadelerini kullandı.
Haziran 2026'da yayımlanan bir analizde watchTowr Labs, sorunun yük dengeleyici uygulamasındaki "escape_quotes()" adlı bir işlevde bulunduğunu ve kullanıcı tarafından sağlanan girdilerin yanlış işlenmesinden kaynaklandığını, bunun da nihayetinde komut enjeksiyonuna yol açtığını belirtti.
Bu açıktan başarıyla yararlanılması durumunda, kimliği doğrulanmamış bir saldırgan geçerli kimlik bilgilerine sahip olmadan etkilenen cihazda keyfi komutlar çalıştırabiliyor.
Bu ekleme, eSentire'ın açığı hedef alan aktif sömürü girişimleri gördüğünü bildirmesinden yaklaşık bir ay sonra geldi. Ancak eSentire, bu girişimlerin büyük ölçüde başarısız olduğunu da sözlerine eklemişti.
