要約

  • CISAのKEVは2026年8月7日にProgress LoadMasterのCVE-2026-8037を追加し、期限を2026年8月10日とした。
  • 未認証の攻撃者が複数のコマンド終端への未無害化入力を通じ任意コマンドを実行でき、分類はCWE-77である。
  • CISAは実際の悪用の証拠に基づく一方、既知のランサムウェア利用欄はUnknownとしている。
  • BOD 26-04は対象機関にベンダー緩和策、インターネット公開評価、該当するフォレンジック調査、必要なら利用停止を求める。
  • ProgressはLoadMaster 7.2.63.2で暗号スイートのUIとAPIコマンドを修正したとする。
  • 6月29日に概念実証が公開され、悪用試行も報じられたが、成功侵害数や未修正台数は分からない。

追加から期限までの短さが作業設計を変える

KEV追加は8月7日、期限は8月10日である。脆弱性開示と修正版は6月にさかのぼるため、今回の節目はBOD 26-04による3日間の運用期限だ。

資産確認が終わってから公開確認、その後に変更と調査という直列工程では遅い。各作業を並行し、同じ機器識別子で結果を統合する必要がある。

LoadMasterは通信経路上の信頼を持つ

CISAの説明では、複数のコマンド終端で入力処理が不十分なため、認証なしに任意コマンドを実行できる。弱点はCWE-77のコマンド注入だ。

負荷分散装置は重要アプリの前面に置かれ、広い接続や権限を持ち得る。ただし、すべての装置が外部公開され、すべての試行が成功したという意味ではない。

修正版の時刻は6月に置く

LoadMaster 7.2.63.2の説明は、暗号スイートUIとAPIコマンドを更新してリモートコード実行条件を直したとする。これは8月の期限より前の修正だ。

各稼働・待機ノードで実際の版数、再起動、切替えを確認しなければならない。パッケージ取得や管理台帳の変更だけでは脆弱コードが止まった証拠にならない。

内部台帳とインターネット側の発見を突き合わせる

BOD 26-04はインターネット公開の評価を求める。内部資産台帳は、一時的な規則、管理画面、待機系、外部に出たAPIを見落とすことがある。

構成レビューと外部探索を照合し、所有者不明のアドレスを解消する。差異がある間はログを保全し、単なる台帳ミスと決めつけない。

実悪用の証拠は過去調査を必要にする

CISAは実悪用をKEV追加の根拠とし、独立報道は6月29日の公開コードと悪用試行を伝える。緊急性は十分だが、各試行の成功や侵害後行動は証明されていない。

コマンド、構成、アカウント・鍵、プロセス、通信、内部への接続を調べるべきだ。更新済み表示は、更新前に残された持続化を除去しない。

ランサムウェアはUnknownのままである

KEVのランサムウェア利用欄はUnknownだ。「なし」の確定でも、利用確認でもない。このCVEを既知のランサムウェア侵入経路として断定できない状態を示す。

スキャン、試行、実行成功、持続化、業務影響を分けて報告する必要がある。通信一件から完全侵害を推定してはいけない。

完了は装置ごとの証拠束で示す

識別子、担当、用途、版数、外部公開、更新時刻、切替え、調査結果、承認者を一つに結ぶ。効果的な緩和策がなければBOD 26-04は利用停止を求める。

民間組織に同じ法的期限が課されるわけではないが、CISAは全組織へKEV優先対応を勧める。重要サービスなら同じ確認手順が有効だ。

情報源