Vulnerabilità · 90 giorni fa

L’ADC diventa il punto d’ingresso della rete

La rottura non è solo il bug in sé. Se l’API è esposta, un chiamante non autenticato può trasformare LoadMaster da controllo di traffico e WAF nel varco iniziale della rete: la compromissione dell’appliance diventa una breccia di perimetro, non un problema isolato del dispositivo. In un edge ADC, il controllo del traffico è il punto di fiducia; se cade lì, salta anche la fiducia nel percorso che porta alle applicazioni.

watchTowr ha pubblicato la ricerca originale su CVE-2026-8037, una RCE pre-auth raggiungibile via API in Progress Kemp LoadMaster. Progress indica come colpite, con API abilitata, le versioni GA v7.2.63.1 e precedenti e LTSF v7.2.54.17 e precedenti; il vendor la descrive come command injection RCE. Il risultato pratico è che chi prende il controllo dell’appliance può intercettare, reroutare o terminare il traffico applicativo e indebolire servizi che dipendono dal suo TLS offload o dal WAF.

Per chi espone l’API su appliance perimetrali, il punto non è solo patchare un box. Il rischio è che il control plane stesso diventi il percorso d’attacco prima di qualsiasi autenticazione, e che il danno si estenda a tutta la flotta di servizi che si fida di quell’ADC.

CVE-2026-8037

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 9.6 CRITICAL: oS Command Injection Remote Code Execution Vulnerability in API in Progress ADC Products allows an un-authenticated… EPSS 77% (100º percentile).

Data di correzione federale CISA 10 ago

Cronologia

Fonti

2 fonti che coprono questa storia

Entità

Part of the PlainSec briefing for 2026-06-30

Editions

Storie correlate