Zusammenfassung

  • CISAs KEV-Feed nahm Progress LoadMaster CVE-2026-8037 am 7. August 2026 mit Fälligkeit 10. August 2026 auf.
  • Die nicht authentifizierte Command-Injection nutzt ungefilterte Eingaben an mehreren Befehlsendpunkten und ist CWE-77 zugeordnet.
  • CISA stützt die Aufnahme auf aktive Ausnutzung; bekannte Nutzung in Ransomware-Kampagnen steht weiterhin auf Unknown.
  • BOD 26-04 verlangt Herstellermaßnahmen, Prüfung der Internetexposition, passende Forensik und Nutzungseinstellung ohne wirksame Minderung.
  • Laut Progress korrigiert LoadMaster 7.2.63.2 die Cipher-Set-Oberfläche und den API-Befehl für die Remote-Code-Ausführung.
  • Ein Proof of Concept war am 29. Juni öffentlich; Versuche belegen weder erfolgreichen Einbruch noch die Zahl verwundbarer Geräte.

Drei Tage machen parallele Arbeit notwendig

Zwischen KEV-Aufnahme am 7. August und Fälligkeit am 10. August lagen nur drei Tage. Offenlegung und Herstellerfix stammen bereits aus Juni; der neue Meilenstein ist die beschleunigte Pflicht unter BOD 26-04.

Inventar, Verantwortlichkeit, Außenprüfung, Wartung und Forensik können nicht nacheinander warten. Sie müssen über dieselbe Gerätekennung zusammengeführt werden.

Der Load Balancer sitzt auf einem privilegierten Pfad

Nach CISA ermöglichen ungefilterte Eingaben an mehreren LoadMaster-Befehlen beliebige Kommandos ohne Anmeldung. CWE-77 bezeichnet die Injektionsklasse.

Ein Load Balancer vermittelt oft kritische Anwendungen und besitzt weitreichende Verbindungsmöglichkeiten. Das erhöht das mögliche Schadensausmaß, beweist aber weder öffentliche Erreichbarkeit jedes Geräts noch Erfolg jedes Versuchs.

7.2.63.2 gehört in die Juni-Chronologie

Progress dokumentiert für LoadMaster 7.2.63.2 eine Änderung an Cipher-Set-UI und API-Befehl, die die Remote-Code-Bedingung behebt. Diese Korrektur existierte vor der KEV-Aufnahme.

Zu prüfen sind die tatsächlich laufende Version, Neustart oder Failover auf jedem aktiven und passiven Knoten. Ein Download oder ein teilweise aktualisierter Cluster ist kein Abschluss.

Außenansicht und Asset-Datenbank müssen übereinstimmen

BOD 26-04 fordert eine Bewertung der Internetexposition. Interne Daten können ein Managementinterface, eine temporäre Regel, ein Reservegerät oder eine veröffentlichte API übersehen.

Externe Erkennung, Konfiguration und Inventar müssen dieselbe Population ergeben. Ungeklärte Adressen sollten Beweissicherung auslösen, bevor sie als Datenfehler verworfen werden.

Aktive Ausnutzung erweitert die Aufgabe rückwärts

CISA verfügt über Hinweise auf aktive Ausnutzung. Der unabhängige Bericht nennt einen öffentlichen Proof of Concept vom 29. Juni und Versuche, ohne für jedes Ziel Erfolg oder Folgeaktivität nachzuweisen.

Forensik sollte Befehle, Konfigurationsänderungen, Konten oder Schlüssel, Prozesse, Verbindungen und nachgelagerten Zugriff prüfen. Der aktuelle Patch beantwortet die historische Frage nicht.

Ransomware bleibt ausdrücklich Unknown

Im KEV-Datensatz steht beim bekannten Ransomware-Einsatz Unknown. Das bestätigt weder Einsatz noch dauerhaftes Ausbleiben und darf nicht in eine gesicherte Kampagne umgedeutet werden.

Scan, Versuch, Ausführung, Persistenz und Auswirkung sind getrennte Zustände. Eine Netzwerkmeldung allein ist kein vollständiger Kompromittierungsnachweis.

Abschluss braucht einen Nachweis je Appliance

Geräte-ID, Eigentümer, Funktion, Version, Exposition, Änderungszeit, Failover, Forensikergebnis und Freigabe bilden den Mindestdatensatz. Ist keine wirksame Minderung vorhanden, verlangt BOD 26-04 die Nutzung einzustellen.

Private Unternehmen unterliegen nicht identisch der Bundesfrist, doch CISA empfiehlt allen Organisationen KEV-Priorität. Für kritische Dienste bleibt die Nachweiskette sinnvoll.

Quellen