Kemp-Loadmaster

CISA เพิ่มช่องโหว่ CVE-2026-8037 ใน Progress Kemp LoadMaster เข้าแคตตาล็อก Known Exploited Vulnerabilities เมื่อ 7 สิงหาคม 2569 หลังมีรายงานการโจมตีจริง ช่องโหว่นี้เป็น command injection ที่เปิดทางให้ผู้โจมตีซึ่งไม่ต้องยืนยันตัวตนรันคำสั่งบนอุปกรณ์ได้ ข้อมูลเทเลเมทรีของ KEVIntel นับความพยายามโจมตีได้ 792 ครั้งใน 41 วัน จาก 65 ไอพีใน 18 ประเทศ ขณะที่หน่วยงานรัฐบาลกลางสหรัฐฯ ถูกกำหนดเส้นตายให้แพตช์ภายใน 10 สิงหาคม

ช่องโหว่ CVE-2026-8037 คะแนน CVSS 9.8 ใน Progress Kemp LoadMaster เปิดทางให้ผู้โจมตีที่ไม่ต้องล็อกอินรันคำสั่งระดับ root ผ่าน API ได้ สาเหตุมาจากฟังก์ชัน escape_quotes() ไม่ใส่ null terminator ทำให้ระบบอ่านหน่วยความจำเลยขอบเขต บริษัท Progress ออกแพตช์แล้วตั้งแต่ 4 มิถุนายน นักวิจัยเผยแพร่ PoC เต็มรูปแบบเมื่อ 29 มิถุนายน ยังไม่พบการโจมตีจริงแต่ความเสี่ยงสูงมากเพราะอุปกรณ์อยู่ที่ขอบเครือข่าย