CVE-2026-8037: falha crítica no Kemp LoadMaster entra no KEV da CISA

A agência de cibersegurança dos Estados Unidos, a CISA, incluiu em 7 de agosto de 2026 a vulnerabilidade CVE-2026-8037, do balanceador de carga Progress Kemp LoadMaster, em seu catálogo de vulnerabilidades exploradas conhecidas (KEV). A falha é de injeção de comandos, tem pontuação CVSS 9.6 e permite que um atacante não autenticado execute comandos arbitrários no appliance.

O ponto sensível é a posição desse equipamento na rede. O Kemp LoadMaster é um controlador de entrega de aplicações (ADC) que distribui tráfego web entre servidores. Ele fica na borda, é exposto à internet por definição e enxerga o tráfego que passa por ele. A Progress Software afirma que 80% das empresas da Fortune 500 usam seus produtos e serviços, e que o LoadMaster soma mais de 100 mil implantações no mundo.

A correção existe desde junho de 2026. O que mudou agora foi o reconhecimento oficial de exploração ativa — e, com ele, o prazo compulsório para órgãos federais civis dos EUA e a recomendação de priorização para todos os demais.

Contexto: uma falha corrigida em junho que só agora entrou no KEV

A vulnerabilidade foi documentada publicamente em junho de 2026 pela watchTowr Labs, que descreveu o problema em uma função chamada escape_quotes() dentro da aplicação do balanceador. Segundo a análise, a função não terminava corretamente as strings sanitizadas com o caractere nulo, o que abria caminho para uma leitura fora dos limites em memória de heap adjacente. A partir daí, requisições especialmente construídas contra o endpoint /accessv2 permitem a injeção de comandos.

A Progress publicou atualizações no mesmo mês. Em julho, a eSentire relatou tentativas de exploração ativas que, segundo a empresa canadense, foram em larga medida malsucedidas — não houve atividade pós-comprometimento identificada naquele momento. As tentativas observadas partiram de três endereços IP: 192.42.116[.]58, 192.42.116[.]105 e 146.70.139[.]154.

A entrada no catálogo KEV vem depois de um volume acumulado de atividade. Dados de telemetria da plataforma KEVIntel apontam 792 tentativas de exploração ao longo de 41 dias, originadas de 65 endereços IP distintos em 18 países, entre eles Austrália, China, Indonésia, Japão, Polônia e Estados Unidos. A última atividade registrada foi em 4 de agosto de 2026, com cinco tentativas.

Detalhes técnicos e escopo

A falha é classificada como injeção de comandos com origem em tratamento inadequado de entrada fornecida pelo usuário em múltiplos endpoints de comando. Não exige credenciais válidas, o que a coloca na categoria mais crítica para dispositivos de borda: pré-autenticação e remota.

O impacto sobre o MOVEit WAF merece destaque separado. Organizações que implantaram o firewall de aplicação web da linha MOVEit podem estar expostas sem saber que rodam o mesmo componente do LoadMaster. Vale checar o inventário por produto, não apenas pelo nome comercial.

Exposição real e escala do risco

Segundo o observatório Shadowserver, cerca de 300 instâncias do Kemp LoadMaster estão expostas na internet. Esse número exige leitura cuidadosa: não há informação sobre quantas dessas instâncias são honeypots de pesquisadores nem quantas já foram corrigidas. Números de varredura de superfície indicam ordem de grandeza, não quantidade de sistemas realmente vulneráveis.

A mesma cautela se aplica às 792 tentativas registradas pela KEVIntel. Tentativa não é comprometimento. O relato da eSentire, aliás, aponta na direção oposta — atividade em volume, mas com baixa taxa de sucesso observada até então. Isso pode refletir varredura oportunista em massa contra alvos majoritariamente já corrigidos.

Ainda assim, a decisão da CISA de incluir a falha no KEV significa que a agência considera haver evidência confiável de exploração bem-sucedida em ambiente real. Órgãos federais civis dos EUA receberam prazo até 10 de agosto de 2026 para aplicar as correções, conforme a Diretiva Operacional Vinculante 26-04. A diretiva obriga apenas o governo americano, mas a CISA recomendou explicitamente que todos os defensores priorizem a correção.

Por que dispositivos de borda concentram tanto risco

Balanceadores de carga, gateways VPN e firewalls de aplicação compartilham um perfil de risco desconfortável: ficam expostos por design, veem tráfego em texto claro após terminação TLS, guardam configurações que descrevem a topologia interna e, muitas vezes, rodam sistemas operacionais embarcados com ciclo de atualização mais lento que o de servidores comuns.

Comprometer um desses equipamentos raramente é o objetivo final. Ele funciona como ponto de apoio: dá visibilidade do que está atrás, permite interceptar ou desviar tráfego e frequentemente oferece caminho para credenciais. É por isso que falhas pré-autenticação em ADCs costumam ser encadeadas rapidamente por grupos de ransomware e de espionagem, mesmo quando a correção já existe há semanas.

O intervalo entre a publicação do patch (junho) e o reconhecimento de exploração ativa (agosto) ilustra um padrão recorrente: a divulgação técnica detalhada — necessária e legítima — encurta o tempo que atacantes levam para desenvolver exploração funcional. Organizações que tratam appliances de rede com o mesmo calendário de manutenção de servidores internos tendem a ficar do lado errado dessa janela.

Recomendações práticas

• Atualize imediatamente para LoadMaster GA 7.2.63.2 ou LTSF 7.2.54.18, ou versões posteriores. Se você usa MOVEit WAF, verifique se está na GA 7.2.63.2 ou superior.
• Inventarie o que está exposto. Confirme quais appliances têm interface de administração ou endpoints de API alcançáveis pela internet e restrinja o acesso a redes de gerenciamento sempre que possível.
• Revise logs em busca de requisições ao endpoint /accessv2 vindas de origens não esperadas, especialmente no período entre o fim de junho e a data da atualização.
• Verifique os indicadores conhecidos. Os três endereços IP reportados pela eSentire são um ponto de partida para busca retroativa, mas não constituem lista exaustiva — 65 IPs distintos já foram observados.
• Não presuma que a ausência de comprometimento pós-tentativa significa segurança. Se o appliance rodou versão vulnerável e esteve exposto, trate a verificação de integridade como parte do procedimento: revise contas administrativas, chaves, tarefas agendadas e configurações alteradas.
• Consulte o aviso oficial da Progress antes de encerrar a resposta, para conferir eventuais atualizações de escopo ou indicadores.

Conclusão

A CVE-2026-8037 reúne os fatores que costumam preceder incidentes de grande porte: falha crítica, sem necessidade de autenticação, em equipamento de borda amplamente implantado, com detalhes técnicos públicos e histórico de tentativas de exploração em volume. A correção está disponível há cerca de dois meses, o que torna a exposição remanescente essencialmente um problema de gestão de patches em appliances de rede.

O que observar a seguir: se surgirem relatos de comprometimento bem-sucedido com atividade pós-exploração — o que mudaria a avaliação atual, baseada em tentativas em larga medida frustradas — e se o volume de varredura crescer após a divulgação de código de prova de conceito, caso ele venha a se tornar público.

Fontes e referências

• BleepingComputer — Critical Progress LoadMaster flaw now actively exploited in attacks (10 de agosto de 2026)
• The Hacker News — Progress Kemp LoadMaster Flaw Hits CISA KEV After 792 Reported Exploit Attempts (8 de agosto de 2026)
• CISA — Known Exploited Vulnerabilities Catalog
• CISA — CISA Adds One Known Exploited Vulnerability to Catalog (7 de agosto de 2026)
• The Hacker News / eSentire — Progress Kemp LoadMaster Pre-Auth RCE Flaw Faces Active Exploitation Attempts (julho de 2026)
• The Hacker News / watchTowr Labs — Progress Kemp LoadMaster Flaw Could Let Attackers Run Root Commands Pre-Auth (junho de 2026)