CVE-2026-8037: kritische Schwachstelle in Progress LoadMaster wird aktiv ausgenutzt

CVE-2026-8037: kritische Schwachstelle in Progress LoadMaster wird aktiv ausgenutzt

Kurz gefasst

CVE-2026-8037 ist eine kritische Command-Injection-Schwachstelle in Progress LoadMaster mit einem CVSS-Wert von 9.6 von 10, von NVD als kritisch eingestuft [1] und veröffentlicht am 4. Juni 2026 [1]. Sie ist im Katalog aktiv ausgenutzter Schwachstellen von CISA (KEV) enthalten [2]. Sie ermöglicht es einem Angreifer, ohne Authentifizierung beliebige Befehle auf dem Gerät auszuführen, indem er nicht bereinigte Eingaben an mehreren Endpunkten der API ausnutzt [1]. Falls deine Organisation Progress LoadMaster einsetzt, lautet die heutige Empfehlung: prüfe, ob das Gerät exponiert ist, kontrolliere, ob Sicherheitsupdates des Herstellers verfügbar sind, und spiele diese mit hoher Priorität ein.

Was es ist und warum es wichtig ist

Laut dem offiziellen NVD-Eintrag handelt es sich um eine Schwachstelle vom Typ OS Command Injection in der API der ADC-Produkte von Progress, die es einem nicht authentifizierten Angreifer ermöglicht, beliebige Befehle auf dem LoadMaster-Gerät auszuführen, indem er nicht bereinigte Eingaben an mehreren Befehls-Endpunkten ausnutzt [1]. Da keine vorherige Authentifizierung erforderlich ist, könnte jeder Angreifer mit Netzwerkzugriff auf das Gerät versuchen, sie direkt auszunutzen.

Die Kombination aus drei Faktoren erhöht das Risiko erheblich: ein CVSS-Wert von 9.6, im obersten Bereich der Skala [1]; eine Einstufung als kritisch durch NVD [1]; und die Aufnahme in den KEV-Katalog von CISA, der Schwachstellen mit nachgewiesener aktiver Ausnutzung erfasst [2]. Unser internes Threat-Intelligence-Radar bei OCIRIA, das auf denselben öffentlichen Daten von NVD und CISA KEV basiert, ordnet sie der Kategorie „Command Injection" mit kritischer Schwere zu, gerade wegen dieses Profils aus Zugriff ohne Authentifizierung und Remotecodeausführung.

Wen es betrifft

Der betroffene Hersteller ist laut NVD Progress, konkret dessen ADC-Produkte (Application Delivery Controller), auf dem Gerät LoadMaster [1]. Die verfügbaren strukturierten Daten spezifizieren keine konkreten betroffenen oder gepatchten Versionen, daher können wir hier nicht genau angeben, welche Builds gefährdet sind oder nicht: Diese Information muss direkt im offiziellen Hinweis des Herstellers für das jeweils betriebene Gerät bestätigt werden.

Als allgemeine Orientierung: Diese Art von Geräten (Lastverteiler / Application Delivery Controller) befindet sich häufig an kritischen Punkten des Netzwerks und verwaltet den Datenverkehr zu internen oder aus dem Internet erreichbaren Anwendungen, was es besonders wichtig macht, schnellstmöglich zu bestätigen, ob das Produkt in deiner Infrastruktur im Einsatz ist.

Wie du feststellst, ob du betroffen bist

• Prüfe, ob deine Organisation Progress LoadMaster (oder ADC-Produkte von Progress) in deinem Infrastrukturinventar im Einsatz hat, einschließlich von Dritten verwalteter Geräte.
• Konsultiere den offiziellen Hinweis des Herstellers, um zu prüfen, welche Versionen betroffen sind und ob deine Installation dazugehört.
• Überprüfe, ob die Verwaltungsoberfläche oder die API des Geräts aus nicht vertrauenswürdigen Netzwerken oder aus dem Internet erreichbar ist; da keine Authentifizierung erforderlich ist, stellt die Netzwerkexposition an sich bereits einen relevanten Risikofaktor dar [1].
• Überprüfe deine exponierte Angriffsfläche regelmäßig: Viele Organisationen entdecken erst spät, dass ein Verwaltungspanel oder eine API aufgrund eines Konfigurationsfehlers von außen erreichbar war.

Wie du dich schützt

1. Identifiziere alle Progress LoadMaster / ADC-Geräte in deinem Inventar, einschließlich der von externen Anbietern verwalteten.

2. Spiele das Sicherheitsupdate des Herstellers ein, sobald es für deine Version verfügbar ist; da die Schwachstelle im KEV-Katalog gelistet ist [2], handelt es sich um eine Priorität und nicht um etwas Aufschiebbares.

3. Beschränke während der Bereitstellung des Patches den Zugriff auf die Verwaltungsoberfläche und die API des Geräts ausschließlich auf vertrauenswürdige Netzwerke (VPN, Zugriffslisten, Netzwerksegmentierung).

4. Überprüfe Protokolle und Warnmeldungen des Geräts auf anomale Aktivitäten an den Befehls-Endpunkten, insbesondere wenn das Gerät dem Internet ausgesetzt war.

5. Etabliere einen wiederkehrenden Prozess zur Überprüfung von Herstellerhinweisen und deiner exponierten Angriffsfläche, da Schwachstellen dieser Art bei Netzwerkgeräten am Perimeter häufig wiederholt auftreten.

Häufig gestellte Fragen

Ist das eine schwerwiegende Schwachstelle? Ja. Sie hat einen CVSS-Wert von 9.6 und wird von NVD als kritisch eingestuft [1].

Wird sie aktiv ausgenutzt? Sie ist im KEV-Katalog von CISA gelistet, der Schwachstellen mit Nachweis aktiver Ausnutzung erfasst [2].

Muss ich authentifiziert sein, damit sie mich betrifft? Nein. Laut offizieller Beschreibung kann ein nicht authentifizierter Angreifer beliebige Befehle ausführen, indem er nicht bereinigte Eingaben in der API des Geräts ausnutzt [1].

Welche Versionen sind betroffen? Die verfügbaren Informationen spezifizieren keine konkreten Versionen; es empfiehlt sich, den offiziellen Hinweis des Herstellers für deine spezifische Installation zu konsultieren.

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-8037
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json