CISA Bổ sung Lỗ hổng Progress LoadMaster Nghiêm trọng vào Danh mục Khai thác Đã biết
CISA vừa bổ sung một lỗ hổng nghiêm trọng trên Progress LoadMaster vào danh mục Known Exploited Vulnerabilities (KEV) sau khi phát hiện các cuộc tấn công nhắm vào các thiết bị bị lộ. Lỗ hổng này, được theo dõi dưới mã CVE-2026-8037, ảnh hưởng đến các sản phẩm Progress LoadMaster và Progress ADC.
Đây là một vấn đề command injection, cho phép kẻ tấn công chưa xác thực thực thi các lệnh tùy ý trên một thiết bị LoadMaster bị ảnh hưởng. Lỗ hổng này có điểm CVSS là 9.6, xếp vào loại nghiêm trọng.
Chi tiết về Lỗ hổng CVE-2026-8037
LoadMaster là một thiết bị điều khiển phân phối ứng dụng và cân bằng tải, được các tổ chức sử dụng để quản lý, phân phối và bảo mật lưu lượng mạng. Do các thiết bị này thường nằm ở các điểm quan trọng trong mạng, việc khai thác thành công có thể cung cấp cho kẻ tấn công một con đường xâm nhập có giá trị vào môi trường của tổ chức.
CISA cho biết vấn đề này tồn tại do nhiều điểm cuối lệnh không làm sạch dữ liệu đầu vào một cách chính xác. Kẻ tấn công có thể gửi dữ liệu được chế tạo đặc biệt đến các điểm cuối này để chèn các lệnh hệ điều hành.
Không cần tài khoản hợp lệ hoặc xác thực để bắt đầu khai thác, điều này khiến các thiết bị hướng ra internet đặc biệt dễ bị tấn công. Điểm yếu này được phân loại là CWE-77, đề cập đến việc xử lý không đúng các phần tử đặc biệt trong các lệnh hệ điều hành.
Diễn biến Khai thác và Mối đe dọa
Các nhà nghiên cứu bảo mật lần đầu tiên tiết lộ lỗ hổng này vào ngày 4 tháng 6 năm 2026. Mã khai thác proof-of-concept chức năng đã được công khai vào ngày 29 tháng 6 năm 2026. Ngay sau đó, eSentire’s Threat Response Unit đã xác định các nỗ lực khai thác lỗ hổng này.
Mặc dù hoạt động ban đầu không dẫn đến hoạt động xâm nhập được xác nhận, việc phát hành mã khai thác hoạt động làm tăng nguy cơ bị lạm dụng trên diện rộng. Các báo cáo cho thấy kẻ tấn công đã thực hiện hàng trăm nỗ lực khai thác lỗ hổng từ hàng chục địa chỉ IP trên nhiều quốc gia. Hoạt động này cho thấy các threat actors đang tích cực quét các triển khai LoadMaster bị ảnh hưởng và cố gắng thực hiện remote code execution.
CISA đã bổ sung CVE-2026-8037 vào danh mục KEV vào ngày 7 tháng 8 năm 2026 và đặt ngày 10 tháng 8 năm 2026 là thời hạn khắc phục cho các cơ quan dân sự liên bang Hoa Kỳ.
Cơ quan này chưa xác nhận liệu lỗ hổng có được sử dụng trong các chiến dịch ransomware hay không. Tuy nhiên, các lỗ hổng thực thi mã từ xa trên các thiết bị mạng thường có giá trị đối với các đối tượng thực hiện truy cập ban đầu và các đối tượng liên quan đến ransomware.
Khuyến nghị Khắc phục và Bảo vệ
Các tổ chức sử dụng Progress LoadMaster nên ngay lập tức xem xét hướng dẫn của nhà cung cấp và áp dụng các bản cập nhật bảo mật sẵn có. Các nhóm an ninh mạng nên xác định tất cả các thiết bị LoadMaster, xác nhận phiên bản phần mềm và kiểm tra xem các giao diện quản lý hoặc API có thể truy cập được từ internet hay không.
Trong trường hợp không thể vá lỗi ngay lập tức, quản trị viên nên hạn chế quyền truy cập vào các mạng đáng tin cậy, vô hiệu hóa các dịch vụ quản lý bên ngoài không cần thiết và giám sát nhật ký (log) để phát hiện các yêu cầu API đáng ngờ hoặc các thay đổi cấu hình bất thường. Các nhóm cũng nên thực hiện phân loại sự cố để xác định khả năng bị xâm nhập trước và sau khi khắc phục.
CISA khuyến nghị các bên liên quan tuân theo các yêu cầu vá lỗi dựa trên rủi ro của Binding Operational Directive 26-04, đánh giá mức độ phơi nhiễm internet của từng tài sản và ngừng sử dụng các sản phẩm bị ảnh hưởng nếu không có các biện pháp giảm thiểu hiệu quả.
