Progress-Software

CISA เพิ่มช่องโหว่ CVE-2026-8037 ใน Progress Kemp LoadMaster เข้าแคตตาล็อก Known Exploited Vulnerabilities เมื่อ 7 สิงหาคม 2569 หลังมีรายงานการโจมตีจริง ช่องโหว่นี้เป็น command injection ที่เปิดทางให้ผู้โจมตีซึ่งไม่ต้องยืนยันตัวตนรันคำสั่งบนอุปกรณ์ได้ ข้อมูลเทเลเมทรีของ KEVIntel นับความพยายามโจมตีได้ 792 ครั้งใน 41 วัน จาก 65 ไอพีใน 18 ประเทศ ขณะที่หน่วยงานรัฐบาลกลางสหรัฐฯ ถูกกำหนดเส้นตายให้แพตช์ภายใน 10 สิงหาคม

บริษัท Progress Software ยืนยันว่าต้นเหตุที่สั่งลูกค้าปิด ShareFile Storage Zone Controller เมื่อสัปดาห์ก่อนคือช่องโหว่ zero-day ระดับรุนแรงสูง เป็นชนิด path traversal กระทบเวอร์ชัน 5.x และ 6.x ทั้งหมด ผู้ดูแลระบบที่ยืนยันตัวตนแล้วสามารถอ่านไฟล์ เขียนไฟล์อันตราย หรือสำรวจโครงสร้างไฟล์บนเซิร์ฟเวอร์ได้ บริษัทออกแพตช์เวอร์ชัน 5.12.5 และ 6.0.2 แล้ว และจะเปิดเผยหมายเลข CVE ในอีก 2 สัปดาห์ ยืนยันยังไม่พบสัญญาณว่ามีลูกค้าถูกเจาะ

บริษัท Progress Software สั่งให้ลูกค้า ShareFile ปิดเซิร์ฟเวอร์ Windows ที่รัน Storage Zone Controller ทันที โดยยืนยันว่ากำลังรับมือ ‘ภัยคุกคามจากภายนอกที่น่าเชื่อถือ’ และระงับการเข้าถึงบัญชีที่ได้รับผลกระทบชั่วคราว บริษัทระบุยังไม่พบสัญญาณการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต แต่ไม่เปิดเผยว่าภัยคุกคามคืออะไร การสั่งปิดทั้งระบบแทนการแพตช์บ่งชี้ว่าอาจยังไม่มีตัวแก้ไข กระทบเฉพาะ Storage Zone Controller ไม่ใช่บัญชีคลาวด์ทั่วไป

ช่องโหว่ CVE-2026-8037 คะแนน CVSS 9.8 ใน Progress Kemp LoadMaster เปิดทางให้ผู้โจมตีที่ไม่ต้องล็อกอินรันคำสั่งระดับ root ผ่าน API ได้ สาเหตุมาจากฟังก์ชัน escape_quotes() ไม่ใส่ null terminator ทำให้ระบบอ่านหน่วยความจำเลยขอบเขต บริษัท Progress ออกแพตช์แล้วตั้งแต่ 4 มิถุนายน นักวิจัยเผยแพร่ PoC เต็มรูปแบบเมื่อ 29 มิถุนายน ยังไม่พบการโจมตีจริงแต่ความเสี่ยงสูงมากเพราะอุปกรณ์อยู่ที่ขอบเครือข่าย