境界のロードバランサーを狙う認証なしRCE — LoadMasterの脆弱性がCISA KEVに追加、悪用試行は792件

2026年8月7日、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、Progress製のロードバランサー・アプリケーション配信コントローラ（ADC）「Kemp LoadMaster」の深刻な脆弱性を、**既知悪用脆弱性カタログ（KEV）**へ追加した。実地での悪用が報告されたことを受けた措置だ。

対象の脆弱性は CVE-2026-8037（深刻度クリティカル、CVSS 9.6〜9.8）。認証されていない攻撃者が、複数のコマンドエンドポイントの未検証入力を使って、LoadMaster上で任意のコマンドを実行できる。CISAの説明では「LoadMasterアプライアンス上で任意のコマンドを実行できるコマンドインジェクション脆弱性」とされている。

どこが危ないのか

LoadMasterは、複数のサーバーへのトラフィックを振り分けるロードバランサーだ。SSL/TLSの終端やWebアプリケーションファイアウォール（WAF）の機能も持つため、ネットワークの境界＝インターネット側に直接置かれることが多い機器。攻撃者から見れば、この機器を乗っ取れば社内ネットワークへの足がかりを得られる、いわば「門番を交代させる」攻撃になる。

この脆弱性を分析したwatchTowr Labsは、LoadMasterのAPI内にあるescape_quotes()という関数の処理不備（未初期化ヒープに由来する問題）を突くことで、**認証なしのリモートコード実行（RCE）**に至ると報告している。修正は2026年6月4日付のProgressのアドバイザリで案内され、影響を受けるのは次のバージョンだ（APIが有効な場合）。

• GA（一般提供版）: 7.2.63.1 以前（修正版は 7.2.63.2）
• LTSF（長期サポート版）: 7.2.54.17 以前

悪用の状況

CISAのKEV追加に先立ち、悪用の動きは複数の組織によって観測されていた。

• カナダのセキュリティ企業eSentireは、この脆弱性を狙う実地の悪用試行を確認したと報告（多くは成功していないとされる）
• テレメトリによると、41日間で792件の悪用試行が、65のユニークなIPアドレス・18か国（オーストラリア、中国、インドネシア、日本、ポーランド、米国など）から観測された。最後の活動は8月4日（5件の試行）

KEVへの追加により、米連邦政府の行政機関（FCEB）は、Binding Operational Directive（BOD）26-04に基づき2026年8月10日までにパッチを適用することが義務付けられている。民間組織にとっても、自社に該当機器がないかの確認は急ぐべきだ。

取るべき対応

1. 該当機器の確認 — LoadMasterを運用している場合、現在のバージョンとAPIの有効/無効を確認する
2. 更新の適用 — GA版は7.2.63.2以降、LTSF版は修正ビルドへ更新する。Progressのアドバイザリで該当ブランチの修正版を確認する
3. APIの露出確認 — 管理APIがインターネットに直接露出していないか確認し、必要なければ遮断する（この脆弱性はAPIが有効な環境が対象）
4. 侵害の兆候の確認 — 管理ログやアクセスログに、APIへの不審な要求（特にコマンド実行を試みる形跡）が残っていないか確認する

ロードバランサーやVPN装置など「境界に置く機器」は、守るための装置であると同時に、攻撃者にとって最も価値のある標的でもある。認証なしのコード実行は、その装置が「門」ではなく「開いた扉」になることを意味する。

出典: CISA — Known Exploited Vulnerabilities Catalog / CISA Alert（2026年8月7日） / watchTowr Labs — Enterprise Tech In, Shell Out（CVE-2026-8037分析） / NVD — CVE-2026-8037