home / blog
2026-06-04 · critica
Progress LoadMaster: command injection pre-autenticazione (CVE-2026-8037)
Command injection non autenticata negli appliance LoadMaster, CVSS 9,8, presente nel catalogo KEV di CISA. Applicare la correzione Progress.
Il 4 giugno 2026 è stata pubblicata la scheda di CVE-2026-8037, una command injection non autenticata negli appliance Progress LoadMaster, con punteggio NVD CVSS v3.1 di 9,8. Un attaccante può eseguire comandi del sistema operativo tramite endpoint dell'API che non sanificano l'input.
La vulnerabilità è nel catalogo KEV di CISA. Progress ha pubblicato il bollettino di sicurezza di giugno 2026, che lo copre insieme a CVE-2026-33691.
Applicare la correzione Progress e verificare che l'interfaccia di gestione dell'appliance non sia raggiungibile da internet. Controllare anche i log di accesso degli endpoint dell'API per attività anomale.
In sintesi
- Cosa
- Esecuzione di comandi del sistema operativo su appliance Progress LoadMaster, senza autenticazione, tramite endpoint dell'API.
- Gravità
- CVSS v3.1 9,8 (critica), secondo NVD. Progress riporta 9,6 con un vettore diverso.
- Causa
- Input non sanificato negli endpoint dei comandi (CWE-77).
- Stato
- Presente nel catalogo KEV di CISA, quindi segnalato come sfruttato attivamente.
- Azione
- Applicare il bollettino Progress di giugno 2026 e verificare che l'interfaccia di gestione non sia esposta su internet.
Fonti: NVD, CVE-2026-8037 · Progress, bollettino LoadMaster giugno 2026 · CISA, catalogo KEV