La rottura non è solo il bug in sé. Se l’API è esposta, un chiamante non autenticato può trasformare LoadMaster da controllo di traffico e WAF nel varco iniziale della rete: la compromissione dell’appliance diventa una breccia di perimetro, non un problema isolato del dispositivo. In un edge ADC, il controllo del traffico è il punto di fiducia; se cade lì, salta anche la fiducia nel percorso che porta alle applicazioni.
watchTowr ha pubblicato la ricerca originale su CVE-2026-8037, una RCE pre-auth raggiungibile via API in Progress Kemp LoadMaster. Progress indica come colpite, con API abilitata, le versioni GA v7.2.63.1 e precedenti e LTSF v7.2.54.17 e precedenti; il vendor la descrive come command injection RCE. Il risultato pratico è che chi prende il controllo dell’appliance può intercettare, reroutare o terminare il traffico applicativo e indebolire servizi che dipendono dal suo TLS offload o dal WAF.
Per chi espone l’API su appliance perimetrali, il punto non è solo patchare un box. Il rischio è che il control plane stesso diventi il percorso d’attacco prima di qualsiasi autenticazione, e che il danno si estenda a tutta la flotta di servizi che si fida di quell’ADC.