CVE-2026-8037criticalbajo ataqueCWE-77

CVE-2026-8037: fallo crítico en Progress Software LoadMaster

OS Command Injection Remote Code Execution Vulnerability in Progress LoadMaster, ECS Connection Manager, Object Scale Connection Manager & MOVEit WAF

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear LoadMaster+ Monitorear MOVEit WAF

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.6epss 100%
de la publicación al arma26 días
Publicada en NVD4 jun
1ª PoC+26d
CISA KEV+64d
Acción exigida por CISAplazo federal: 2026-08-10

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En resumen

Un atacante puede ejecutar comandos maliciosos en dispositivos Progress LoadMaster sin autenticarse, enviando solicitudes especialmente preparadas a la API. Esto permite el control total de los sistemas afectados.

Detalle técnico

Vulnerabilidad de inyección de comandos del sistema operacional en endpoints de API del Progress ADC debido a sanitización insuficiente de entrada. Atacantes no autenticados pueden ejecutar comandos del SO arbitrarios mediante payloads maliciosos en múltiples endpoints de comando, logrando ejecución remota de código con privilegios del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.
OS Command Injection Remote Code Execution Vulnerability in API in Progress ADC Products allows an un-authenticated attacker to execute arbitrary commands on the LoadMaster appliance by exploiting unsanitized input in multiple command endpoints
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Productos afectados
Progress Software · ECS Connections ManagerProgress Software · LoadMasterProgress Software · MOVEit WAFProgress Software · Object Scale Connection Manager
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Progress Software LoadMaster

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-1212CRITICALLoadMaster Pre-Authenticated OS Command InjectionEPSS 95.4%KEVCVE-2024-2448HIGHLoadMaster Command Injection VulnerabilityEPSS 55.4%CVE-2025-13447HIGHOS Command Injection Remote Code Execution Vulnerability in Progress LoadMasterEPSS 27.2%CVE-2025-13444HIGHOS Command Injection Remote Code Execution Vulnerability in Progress LoadMasterEPSS 27.2%CVE-2026-3518HIGHOS Command Injection Remote Code Execution Vulnerability in Progress LoadMaster, ECS Connection Manager, Object Scale Connection Manager & MOVEit WAFEPSS 16.9%CVE-2026-3517HIGHOS Command Injection Remote Code Execution Vulnerability in Progress LoadMaster, ECS Connection Manager, Object Scale Connection Manager & MOVEit WAFEPSS 15.5%