CISA instó a corregir de inmediato una vulnerabilidad crítica en Progress Kemp LoadMaster (CVE-2026-8037, CVSS 9.6), que permite la ejecución remota de comandos sin autenticación y ha sido explotada en el mundo real.
Por qué importa: la falla abre la puerta a ejecución de código con privilegios de root en dispositivos posicionados en el borde de la red, lo que puede facilitar acceso inicial y movimiento lateral hacia servicios internos.
Lo esencial
- CVE-2026-8037 es una inyección de comandos en el parámetro apiuser del endpoint accessv2 que permite RCE sin autenticación.
- El análisis y un PoC público aparecieron a fines de junio; las pruebas de explotación en el campo se reportaron desde el 29-30 de junio.
- CISA añadió la vulnerabilidad a su listado Known Exploited Vulnerabilities (KEV), dando a agencias federales un plazo de tres días para parchear.
API accessv2 y el parámetro apiuser permiten la inyección
Según el aviso de Progress y un advisory de ZDI (Zero Day Initiative), el defecto reside en cómo se procesa el parámetro apiuser del endpoint accessv2. La falta de inicialización de memoria antes de su uso crea una condición que un atacante puede aprovechar para ejecutar comandos en contexto de root.
Mecanismo técnico: escape_quotes(), malloc() y lecturas fuera de límites
El análisis publicado por la firma watchTowr identifica la función escape_quotes() como causante: se asigna un búfer en heap con malloc() pero no se escribe un terminador nulo tras la salida escapada, lo que provoca lecturas fuera de límites de memoria liberada. WatchTowr explica que un atacante puede rociar contenido de inyección en la memoria adyacente para que la lectura provoque una llamada a system() con payload malicioso.
