概要
Progress社のロードバランサー製品「Kemp LoadMaster」に存在するコマンドインジェクションの重大脆弱性CVE-2026-8037(CVSSスコア9.6)が、実際の攻撃で悪用されていることが確認された。これを受けて米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、同脆弱性を既知悪用脆弱性(KEV)カタログに追加し、連邦機関に対してBinding Operational Directive(BOD)26-04に基づき2026年8月10日までのパッチ適用を義務付けた。KEVIntelのテレメトリデータによれば、過去41日間で65のユニークIPアドレスから792件の悪用試行が確認されており、攻撃元はオーストラリア、中国、インドネシア、日本、ポーランド、米国など18カ国に及ぶ。直近では8月4日にも5件の試行が検出されており、攻撃活動は継続中とみられる。
技術的な詳細
CVE-2026-8037は、Kemp LoadMasterアプライアンス内の「escape_quotes()」関数におけるユーザー入力の不適切な処理に起因するOSコマンドインジェクションの脆弱性である。複数のコマンドエンドポイントで未サニタイズの入力を悪用することで、攻撃者は認証なしに任意のコマンドを実行できる。脆弱性は2026年6月4日に初めて開示され、その後6月29日に実証コード(PoC)が公開されたことで悪用リスクが一気に高まった。脅威対応を手がけるeSentireの脅威対応ユニット(TRU)がこの脆弱性の悪用試行を検出しているが、現時点では悪用が成功した侵害や侵入後の活動は確認されていないという。eSentireは、機能するPoCが公開されたことで今後さらに悪用が増加する可能性が高いと警告している。
今後の対応
CISAは2026年8月7日にCVE-2026-8037をKEVカタログへ追加し、連邦民間行政機関(FCEB)に対して週末を挟んだ8月10日までにパッチを適用するよう求めている。KEV掲載はCISAが実際の悪用を確認した脆弱性のみを対象とするため、連邦機関以外の組織にとっても優先度の高い対応事項となる。Kemp LoadMasterはエンタープライズ環境でトラフィック分散やアプリケーション配信制御(ADC)に広く利用されており、インターネットに公開された管理インターフェースを持つ環境では特に迅速なパッチ適用とアクセス制限の見直しが推奨される。