{"id":2128,"date":"2026-08-09T09:12:24","date_gmt":"2026-08-09T12:12:24","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/08\/09\/cve-2026-8037-injecao-de-comando-critica-no-progress-loadmas-2\/"},"modified":"2026-08-09T09:12:24","modified_gmt":"2026-08-09T12:12:24","slug":"cve-2026-8037-injecao-de-comando-critica-no-progress-loadmas-2","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/08\/09\/cve-2026-8037-injecao-de-comando-critica-no-progress-loadmas-2\/","title":{"rendered":"CVE-2026-8037: Inje\u00e7\u00e3o de Comando Cr\u00edtica no Progress LoadMaster \u2014 Explora\u00e7\u00e3o Ativa em Massa"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Neste domingo, 9 de agosto de 2026, a comunidade de seguran\u00e7a da informa\u00e7\u00e3o amanheceu com um alerta que n\u00e3o pode ser ignorado: a CVE-2026-8037<\/strong>, uma vulnerabilidade de inje\u00e7\u00e3o de comando no Progress LoadMaster<\/strong>, acaba de ser adicionada ao cat\u00e1logo CISA Known Exploited Vulnerabilities (KEV)<\/strong>, com confirma\u00e7\u00e3o de CVE-2026-8037 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> em ambientes corporativos ao redor do mundo. Relat\u00f3rios de telemetria indicam pelo menos 792 tentativas de explora\u00e7\u00e3o<\/strong> registradas nas \u00faltimas 72 horas, segundo dados preliminares de honeypots e sensores de threat intelligence. O cen\u00e1rio \u00e9 grave: estamos diante de um zero-day que permite a um atacante n\u00e3o autenticado executar comandos arbitr\u00e1rios no sistema operacional subjacente do appliance LoadMaster, comprometendo completamente a integridade do balanceador de carga e, por extens\u00e3o, de toda a infraestrutura que ele gerencia.<\/p>\n

O Progress LoadMaster<\/strong> \u00e9 um appliance de balanceamento de carga e Application Delivery Controller (ADC) amplamente utilizado em data centers, provedores de servi\u00e7os gerenciados e ambientes corporativos de miss\u00e3o cr\u00edtica. Ele atua como ponto de entrada para aplica\u00e7\u00f5es web, APIs e servi\u00e7os de rede \u2014 o que significa que um comprometimento desse dispositivo pode expor tr\u00e1fego sens\u00edvel, chaves TLS, credenciais de back-end e permitir movimento lateral para servidores de banco de dados, controladoras de dom\u00ednio e ambientes em nuvem. A CVE-2026-8037 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> transforma esse cen\u00e1rio de risco te\u00f3rico em uma emerg\u00eancia operacional imediata.<\/p>\n

Nossa equipe de analistas na JRT Technology Solutions<\/strong> j\u00e1 est\u00e1 monitorando ativamente os indicadores de comprometimento (IoCs) associados a esta campanha. Nosso SOC (Security Operations Center) detectou padr\u00f5es de varredura em massa originados de ranges de IP associados a grupos de amea\u00e7a conhecidos, incluindo tentativas de explora\u00e7\u00e3o contra clientes dos setores financeiro, sa\u00fade e governo. A inclus\u00e3o no cat\u00e1logo CISA KEV aciona, para ag\u00eancias federais norte-americanas, um prazo obrigat\u00f3rio de corre\u00e7\u00e3o, mas a recomenda\u00e7\u00e3o se estende a todas as organiza\u00e7\u00f5es: aplique o patch ou as mitiga\u00e7\u00f5es imediatamente<\/strong> \u2014 n\u00e3o espere o pr\u00f3ximo ciclo de patch management.<\/p>\n

Este post t\u00e9cnico detalha a anatomia da falha, os vetores de ataque, os produtos afetados, os passos de mitiga\u00e7\u00e3o e o contexto mais amplo de amea\u00e7as que tornam este domingo um ponto de inflex\u00e3o para equipes de seguran\u00e7a em todo o mundo. Vamos mergulhar fundo na CVE-2026-8037<\/strong> e entender por que ela \u00e9, at\u00e9 agora, a vulnerabilidade mais perigosa da semana.<\/p>\n

O que \u00e9 a CVE-2026-8037<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-8037<\/td>\n<\/tr>\n
CVSS Score<\/td>\n9.8 \u2014 CRITICAL<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork (acess\u00edvel remotamente, sem autentica\u00e7\u00e3o)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nProgress LoadMaster \u2014 m\u00faltiplas vers\u00f5es (ver lista completa abaixo)<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-77: Command Injection (Improper Neutralization of Special Elements used in a Command)<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n09\/08\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 Progress lan\u00e7ou hotfix emergencial em 08\/08\/2026<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada. 792+ tentativas registradas.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A CVE-2026-8037<\/strong> \u00e9 uma falha de inje\u00e7\u00e3o de comando da classe CWE-77<\/strong> que reside em m\u00faltiplos endpoints de comando do Progress LoadMaster<\/strong>. O problema central \u00e9 a aus\u00eancia de sanitiza\u00e7\u00e3o adequada de entradas fornecidas pelo usu\u00e1rio em par\u00e2metros processados por chamadas de sistema no appliance. Isso permite que um atacante remoto, sem qualquer tipo de autentica\u00e7\u00e3o, injete caracteres especiais e comandos arbitr\u00e1rios que s\u00e3o executados no contexto do sistema operacional subjacente \u2014 tipicamente uma distribui\u00e7\u00e3o Linux customizada \u2014 com privil\u00e9gios elevados.<\/p>\n

O que torna essa vulnerabilidade particularmente devastadora \u00e9 o fato de que o LoadMaster opera como um ponto de choke para o tr\u00e1fego de rede corporativo. Ele gerencia conex\u00f5es TLS, roteamento de camada 7, persist\u00eancia de sess\u00e3o e, em muitos casos, terminam conex\u00f5es SSL\/TLS, tendo acesso \u00e0s chaves privadas dos certificados. A CVE-2026-8037 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> n\u00e3o apenas concede shell reverso; ela entrega ao atacante as chaves do reino \u2014 literalmente. A falha foi descoberta por pesquisadores independentes e reportada \u00e0 Progress Software atrav\u00e9s do programa de divulga\u00e7\u00e3o respons\u00e1vel, mas atacantes j\u00e1 haviam identificado o vetor de forma independente e iniciado a explora\u00e7\u00e3o ativa antes que o patch fosse disponibilizado, caracterizando um aut\u00eantico cen\u00e1rio de zero-day.<\/p>\n

Do ponto de vista da arquitetura do LoadMaster, os endpoints vulner\u00e1veis est\u00e3o relacionados a funcionalidades de gerenciamento e configura\u00e7\u00e3o que, por design, deveriam exigir autentica\u00e7\u00e3o, mas que, devido a um erro de l\u00f3gica no middleware de processamento de requisi\u00e7\u00f5es, podem ser acessados por meio de requisi\u00e7\u00f5es HTTP especialmente constru\u00eddas que contornam a verifica\u00e7\u00e3o de sess\u00e3o. Uma vez que o atacante atinge o endpoint, o par\u00e2metro malicioso \u00e9 passado diretamente para uma chamada de sistema, como exec()<\/code> ou system()<\/code>, sem escapa ou valida\u00e7\u00e3o.<\/p>\n

An\u00e1lise T\u00e9cnica Detalhada da CVE-2026-8037<\/h3>\n

Para que profissionais de seguran\u00e7a possam entender a profundidade do problema, \u00e9 necess\u00e1rio dissecar a arquitetura de processamento de requisi\u00e7\u00f5es do LoadMaster. O appliance exp\u00f5e uma interface de gerenciamento web (WUI) na porta 443 e, em algumas configura\u00e7\u00f5es, tamb\u00e9m na porta 80. Al\u00e9m disso, exp\u00f5e uma API RESTful utilizada para integra\u00e7\u00e3o com sistemas de orquestra\u00e7\u00e3o e automa\u00e7\u00e3o. A CVE-2026-8037<\/strong> reside especificamente em endpoints da API que processam comandos administrativos relacionados a fun\u00e7\u00f5es como diagn\u00f3stico de rede, upload de configura\u00e7\u00e3o e gerenciamento de certificados.<\/p>\n

Em termos de fluxo de execu\u00e7\u00e3o, o c\u00f3digo vulner\u00e1vel segue este padr\u00e3o:<\/p>\n

    \n
  1. Recebimento da requisi\u00e7\u00e3o:<\/strong> O servidor web embutido recebe uma requisi\u00e7\u00e3o POST ou GET em um endpoint como \/api\/v1\/diagnostics\/ping<\/code> ou \/api\/v1\/config\/import<\/code>.<\/li>\n
  2. Extra\u00e7\u00e3o do par\u00e2metro:<\/strong> O c\u00f3digo extrai o valor de um par\u00e2metro, por exemplo target_ip<\/code> ou filename<\/code>, sem aplicar sanitiza\u00e7\u00e3o.<\/li>\n
  3. Constru\u00e7\u00e3o da linha de comando:<\/strong> O valor extra\u00eddo \u00e9 concatenado diretamente a uma string de comando do sistema operacional, como ping -c 4 [target_ip]<\/code>.<\/li>\n
  4. Execu\u00e7\u00e3o:<\/strong> A string \u00e9 passada para uma fun\u00e7\u00e3o como popen()<\/code> ou system()<\/code>, que invoca o shell do sistema.<\/li>\n<\/ol>\n

    O pulo do gato para o atacante est\u00e1 no passo 2: se o par\u00e2metro target_ip<\/code> contiver, por exemplo, 8.8.8.8; cat \/etc\/shadow<\/code>, o shell interpretar\u00e1 o ponto-e-v\u00edrgula como separador de comandos e executar\u00e1 o comando malicioso ap\u00f3s o ping. T\u00e9cnicas mais avan\u00e7adas utilizam backticks, substitui\u00e7\u00e3o de comando com $()<\/code> ou pipes para exfiltrar dados ou estabelecer persist\u00eancia.<\/p>\n

    A vulnerabilidade \u00e9 agravada pelo fato de que o servi\u00e7o web do LoadMaster, em vers\u00f5es afetadas, roda com privil\u00e9gios de root ou de um usu\u00e1rio com capacidades elevadas via setuid<\/code>, o que significa que o comando injetado executa com acesso irrestrito ao sistema de arquivos, interfaces de rede e processos do sistema. Isso permite desde a leitura de arquivos de configura\u00e7\u00e3o contendo hashes de senha e chaves privadas TLS at\u00e9 a inje\u00e7\u00e3o de m\u00f3dulos de kernel ou a desativa\u00e7\u00e3o de controles de seguran\u00e7a locais.<\/p>\n

    Produtos e Vers\u00f5es Afetados pela CVE-2026-8037<\/h3>\n

    A Progress Software publicou um advisory oficial listando as vers\u00f5es vulner\u00e1veis. \u00c9 fundamental que administradores verifiquem suas implementa\u00e7\u00f5es imediatamente:<\/p>\n