Progress

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、ハッカーがProgress Kemp LoadMasterの「重大」レベルのコマンドインジェクション脆弱性を悪用していると警告した。

Kemp LoadMasterは、世界中のテクノロジー企業や政府機関（Amazon、米国空軍など）で広く採用されているアプリケーションデリバリーコントローラー（ADC）およびサーバーロードバランサーであり、受信するWebトラフィックを複数のサーバーに分散させ、アプリケーションのパフォーマンスを最適化し、高いサービス可用性を確保するために利用されています。

Progress Software社によると、フォーチュン500企業の80％が同社の製品およびサービスを利用しており、Kemp LoadMasterは世界中で10万件以上の導入実績がある。

image

CVE-2026-8037として追跡されているこの重大なコマンドインジェクションのセキュリティ脆弱性により、認証されていない攻撃者は、複数のコマンドエンドポイントにおけるサニタイズされていないAPI入力を悪用し、パッチが適用されていないLoadMasterアプライアンス上で任意のコマンドを実行することが可能になります。

6月、Progress SoftwareはKemp LoadMaster（GA v7.2.63.1以前およびLTSF v7.2.54.17以前）のこの脆弱性を修正するセキュリティアップデートをリリースし、 また、GA v7.2.63.2以前のすべてのMOVEit WAF（Webアプリケーションファイアウォール）バージョンにも影響があることを確認しました。

インターネット脅威監視機関のShadowserverによると、オンライン上で約300台のKemp LoadMasterインスタンスが公開されています。ただし、そのうち何台がハニーポットであるか、あるいはCVE-2026-8037攻撃に対してすでに防御措置が講じられているかに関する情報はありません。

金曜日、CISAはこの脆弱性を 「現在悪用されている脆弱性」のリストに 追加し、米国連邦文民行政機関（FCEB）に対し、拘束力のある運用指令26-04の規定に基づき、3日以内にサーバーのセキュリティ対策を講じるよう命じました。

「この種の脆弱性は、悪意のあるサイバー攻撃者にとって頻繁に利用される攻撃ベクトルであり、連邦政府機関に重大なリスクをもたらす」と、同サイバーセキュリティ機関は警告した。

BOD 26-04は米国政府機関にのみ適用されるものの、CISAは、すべての防御担当者に、CVE-2026-8037の脆弱性に対するパッチ適用を優先し、今後の攻撃を阻止するよう強く求めた。

先月、Progress社は、オンプレミス型のセキュアファイル共有ソフトウェアを標的とした、当時「信憑性の高い外部のセキュリティ脅威」と説明した問題を特定した後、Storage Zone Controllersを使用していたShareFileの顧客に対し、直ちにサーバーを停止するよう電子メールで通知した。

数日後、同社はShareFileのパストラバーサルに関する高深刻度のゼロデイ脆弱性に対するセキュリティパッチをリリースしたが、「ShareFileの顧客アカウントやデータへの不正アクセスの兆候はなく、現在進行中の脅威も確認されていない」と述べた。