CVE‑2026‑8037 ของ LoadMaster จาก Progress Kemp ถูกเพิ่มใน KEV ของ CISA หลังพบการโจมตี 792 ครั้ง.

Progress Kemp LoadMaster เผชิญช่องโหว่ระดับวิกฤติที่ถูกบันทึกในฐานข้อมูล Known Exploited Vulnerabilities (KEV) ของ CISA หลังจากพบการโจมตีจริงกว่า 792 ครั้ง

Overview

CISA ประกาศเมื่อวันศุกร์ที่ผ่านมาให้ CVE‑2026‑8037 ซึ่งเป็นช่องโหว่ระดับ critical (CVSS 9.6) ของอุปกรณ์ LoadBalancer จากบริษัท Progress Kemp เข้าร่วมในรายการ KEV รายการนี้มุ่งเน้นระบุช่องโหว่ที่มีการถูกใช้โจมตีจริง เพื่อช่วยองค์กรจัดลำดับความสำคัญในการอัปเดตระบบตามแหล่งข่าวจากผู้ตรวจสอบด้านความปลอดภัยหลายแห่งที่รายงานพบกิจกรรมโจมตีอย่างต่อเนื่อง

LoadMaster เป็นผลิตภัณฑ์ load balancing ที่ใช้กันอย่างแพร่หลายในศูนย์ข้อมูลและคลาวด์ส่วนตัว เนื่องจากให้บริการกระจายการรับส่งทราฟฟิกเพื่อเพิ่มความทนทานของแอปพลิเคชัน การที่ช่องโหว่นี้ถูกยกขึ้นสู่ KEV ทำให้ผู้ดูแลระบบต้องเร่งตรวจสอบและแก้ไขโดยเร็ว

Key Details

ตามข้อมูลของ CISA ช่องโหว่ CVE‑2026‑8037 เกิดจาก command injection ที่ทำให้ผู้โจมตีสามารถส่งคำสั่งใด ๆ ไปยังเซิร์ฟเวอร์ที่รัน LoadMaster ได้ หากสำเร็จอาจนำไปสู่การดำเนินการ arbitrary code execution หรือขโมยข้อมูลสำคัญขององค์กร

• CVE‑2026‑8037 มีคะแนน CVSS 9.6 ระดับ critical
• รายงานพบ 792 ครั้ง ของความพยายามโจมตีในช่วงแรกของการเปิดเผยข้อมูล
• ช่องโหว่นี้ส่งผลต่อเวอร์ชันของ LoadMaster ที่ยังไม่ได้รับแพตช์ล่าสุดจาก Kemp

CISA ได้บันทึกข้อมูลดังกล่าวไว้ใน KEV เพื่อให้ผู้ใช้เทคโนโลยีสารสนเทศทั่วโลกสามารถตรวจสอบและดำเนินการแก้ไขได้อย่างเป็นระบบ

Technical Analysis

โดยละเอียด ช่องโหว่นี้เกิดจากการจัดการพารามิเตอร์ URL ที่ไม่ผ่านการตรวจสอบอย่างเพียงพอในโมดูล **Web Application Firewall (WAF) ของ LoadMaster เมื่อผู้ใช้ส่งค่าพารามิเตอร์ที่ประกอบด้วยคำสั่งระบบปฏิบัติการ จะถูกประมวลผลโดยไม่มีการทำ sanitization ทำให้โจมตีสามารถฝังโค้ดได้

การตรวจสอบเบื้องต้นของนักวิจัยพบว่า exploit‑code สามารถใช้ HTTP GET หรือ POST เพื่อส่ง payload ที่มีคำสั่งเช่น `; rm -rf /` ไปยังเซิร์ฟเวอร์ที่ทำงานภายใต้ระบบ UNIX‑like ซึ่งผลลัพธ์อาจแตกต่างตามระดับสิทธิของกระบวนการ LoadMaster

นอกจากนี้ การสำรวจโครงสร้างเครือข่ายพบว่าผู้โจมตีมักใช้ IP ที่อยู่ในช่วง public cloud เพื่อหลีกเลี่ยงการตรวจจับจากระบบ IDS/IPS ภายในองค์กร ซึ่งทำให้การป้องกันระดับ perimeter มีความท้าทายมากยิ่งขึ้น

Impact

องค์กรที่ใช้งาน LoadMaster ในฐานะตัวกลางจัดสรรทราฟฟิกระหว่างผู้ใช้และเซิร์ฟเวอร์สำคัญอาจเผชิญกับผลกระทบหลายประการ ได้แก่

• หยุดทำงานของบริการ หากคำสั่งที่โจมตีเรียกใช้ทำให้ระบบล่มหรือไฟล์สำคัญถูกลบ
• ข้อมูลรั่วไหล เนื่องจากผู้โจมตีอาจดึงข้อมูลจากฐานข้อมูลหรือแอปพลิเคชันที่อยู่หลัง LoadMaster ได้โดยตรง
• ความเสียหายต่อชื่อเสียง ขององค์กรเมื่อการละเมิดข้อมูลเกิดขึ้นและต้องเปิดเผยต่อสาธารณะ

ตามรายงานของ CISA การโจมตีจริงใน 792 ครั้งส่วนใหญ่ถูกบันทึกจากอุตสาหกรรมบริการคลาวด์และการเงิน ซึ่งเป็นกลุ่มที่พึ่งพา LoadMaster ในการจัดการโหลดอย่างสูง

Mitigation & Recommendations

ผู้ดูแลระบบควรดำเนินการตามขั้นตอนต่อไปนี้โดยเร็วที่สุดเพื่อปิดช่องโหว่และลดความเสี่ยงจากการโจมตีต่อเนื่อง

• อัปเดตซอฟต์แวร์: ติดตั้งแพตช์ล่าสุดที่ Kemp เผยแพร่สำหรับ LoadMaster เวอร์ชันที่ได้รับผลกระทบ
• ตรวจสอบการกำหนดค่า WAF: ปรับกฎให้ทำการ sanitization พารามิเตอร์ทั้งหมดและปิดฟังก์ชันการประมวลผลคำสั่งจากภายนอกหากไม่จำเป็น
• เฝ้าติดตามโลจ: ใช้ระบบ SIEM เพื่อตรวจจับ pattern ของ HTTP request ที่มีลักษณะ suspicious เช่น การใช้ตัวอักขระพิเศษ (`;`, `&&`) ใน URL หรือ body
• บังคับใช้นโยบายการเข้าถึง: จำกัด IP ที่สามารถเชื่อมต่อกับอินเตอร์เฟซการจัดการ LoadMaster ผ่าน VPN หรือ firewall rule เฉพาะ

การดำเนินการเหล่านี้สอดคล้องกับแนวทางของ CISA ในการลดความเสี่ยงจากช่องโหว่ที่ถูกบันทึกใน KEV และช่วยให้องค์กรสามารถปกป้องทรัพยากรสำคัญได้อย่างมีประสิทธิภาพ

Summary

CISA ได้เพิ่ม CVE‑2026‑8037 ของ Progress Kemp LoadMaster เข้าสู่รายการ KEV หลังจากพบการโจมตีจริงกว่า 792 ครั้ง ช่องโหว่ระดับวิกฤตนี้เป็น command injection ที่อาจทำให้ผู้โจมตีควบคุมระบบได้อย่างเต็มที่ การอัปเดตแพตช์และปรับปรุงการตั้งค่า WAF เป็นขั้นตอนสำคัญในการป้องกันความเสียหายต่อองค์กร.