Die LoadMaster Sicherheitslücke CVE-2026-8037 zählt zu den gefährlichsten Schwachstellen dieses Sommers. Denn sie erlaubt Angreifern, ohne Anmeldung Befehle auf dem Gerät auszuführen. Der Load Balancer von Progress Kemp steht in vielen Rechenzentren direkt am Netzrand. Genau dort ist ein Pre-Auth-Fehler besonders brisant. Seit dem 29. Juni 2026 beobachten Sicherheitsforscher aktive Angriffsversuche.
Was die LoadMaster Sicherheitslücke CVE-2026-8037 so kritisch macht
Die Schwachstelle trägt einen CVSS-Score von 9.6 und gilt damit als kritisch. Sie steckt in der API mehrerer Progress-ADC-Produkte. Betroffen sind neben LoadMaster auch der ECS Connection Manager, der Object Scale Connection Manager und die MOVEit WAF. Ein nicht authentifizierter Angreifer kann beliebige Systembefehle ausführen. Voraussetzung ist lediglich, dass die API-Funktion auf dem Gerät aktiviert ist.
Technisch handelt es sich um eine OS-Command-Injection. Der Fehler liegt in der Funktion escape_quotes(). Sie beendet bereinigte Zeichenketten nicht korrekt mit einem Nullbyte. Dadurch liest das Programm über den vorgesehenen Speicher hinaus. Diese Out-of-Bounds-Lese ermöglicht es, über den Endpunkt /accessv2 Befehle einzuschleusen. Ein funktionierender Proof-of-Concept ist inzwischen öffentlich.
Dein AD härten: 12 Sofortmaßnahmen
Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.
Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.
Welche Versionen betroffen sind
Progress nennt konkrete Versionsstände. Verwundbar sind demnach:
- Kemp LoadMaster GA-Version 7.2.63.1 und älter
- LoadMaster LTSF-Version 7.2.54.17 und älter
Zusätzlich sind die genannten Connection Manager und die MOVEit WAF betroffen, sofern die API im Einsatz ist. Wer diese Produkte am Netzrand betreibt, sollte jetzt handeln.
So schließt du die Lücke
Progress hat den Fehler bereits behoben. Der Hersteller ersetzte die uninitialisierte malloc-Allokation durch ein mit Nullen gefülltes calloc. Zudem ergänzte er den fehlenden Nullterminator. Damit entfällt die riskante Speicher-Lese. Die wichtigsten Schritte im Überblick:
- Aktualisiere LoadMaster umgehend auf die vom Hersteller bereitgestellte, gepatchte Version.
- Prüfe, ob die API-Funktion wirklich benötigt wird. Falls nicht, deaktiviere sie.
- Beschränke den Zugriff auf das Management-Interface auf vertrauenswürdige Netze.
- Durchsuche die Logs nach verdächtigen Anfragen an
/accessv2.
Da bereits ein Exploit kursiert, zählt jede Stunde. Appliances am Netzrand sind ein beliebtes Einfallstor für Ransomware. Genau deshalb solltest du die LoadMaster Sicherheitslücke nicht auf die lange Bank schieben.
Einordnung: Edge-Geräte bleiben im Visier
Der Fall reiht sich in ein bekanntes Muster ein. Immer wieder geraten VPN-Gateways, Load Balancer und Security-Appliances ins Fadenkreuz. Erst kürzlich sorgte eine Check Point VPN Sicherheitslücke für Schlagzeilen. Das Rezept ist stets dasselbe: schnell patchen, Angriffsfläche verkleinern und Logs im Blick behalten.
Fazit
Die LoadMaster Sicherheitslücke CVE-2026-8037 ist ein Paradebeispiel für eine gefährliche Pre-Auth-RCE. Ein öffentlicher Exploit und laufende Angriffe erhöhen den Druck. Wer betroffene Progress-Produkte einsetzt, sollte deshalb sofort aktualisieren. So bleibt das eigene Netz geschützt.
Quellen
- The Hacker News: Progress Kemp LoadMaster Pre-Auth RCE Faces Active Exploitation
- watchTowr Labs: CVE-2026-8037 Technische Analyse
- CVEFeed: CVE-2026-8037 Detail
Mehr Klartext, direkt ins Postfach
Neue Analysen zu Security, KI und Crypto per Mail – zum Einstieg die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.
Zur Anmeldung