Progress LoadMaster CVE-2026-8037がCISA KEVに追加 — 認証不要RCE、実悪用確認 + 緊急パッチ適用推奨

この記事は約15分で読めます。

米国サイバーセキュリティ・社会基盤安全保障庁(Cybersecurity and Infrastructure Security Agency:CISA)は2026年8月7日、Progress Kemp LoadMasterに存在するCVE-2026-8037を、既知の悪用が確認された脆弱性カタログ(Known Exploited Vulnerabilities:KEV)へ追加しました。

CVE-2026-8037は、LoadMasterのアプリケーションプログラミングインターフェース(Application Programming Interface:API)および管理画面に関係するOSコマンドインジェクションの脆弱性です。認証されていない攻撃者が影響を受けるインターフェースへ到達できる場合、LoadMasterアプライアンス上で任意のコマンドを実行される可能性があります。

Progressは2026年6月4日に修正版を公開しており、一般提供版(General Availability:GA)系列ではLMOS 7.2.63.2、長期サポート機能版(Long Term Support Feature:LTSF)系列ではLMOS 7.2.54.18で修正しています。それから約2か月後、CISAが実際の悪用を裏付ける証拠に基づいてKEVへ追加した形です。

米国政府機関向けの対応期限は2026年8月10日に設定されており、本記事公開時点ではすでに期限を迎えています。ただし、この期限は米国連邦政府機関に対するCISAの指示であり、民間企業や日本の組織に同じ法的期限が直接適用されるという意味ではありません。一方、KEVへの登録は実悪用が確認されたことを示す重要なリスク判断材料であるため、LoadMasterを利用する組織は更新状況と管理インターフェースの公開範囲を優先して確認する必要があります。

CVE-2026-8037の概要

項目 内容
CVE CVE-2026-8037
対象 Progress Kemp LoadMaster
影響モジュール API/UI
脆弱性の種類 OSコマンドインジェクション
主な影響 認証なしで任意のOSコマンドを実行される可能性
Progress CNA CVSS 9.6(Critical)
NVD CVSS 9.8(Critical)
Progress公開日 2026年6月4日
CISA KEV追加日 2026年8月7日
CISA対応期限 2026年8月10日(米国連邦政府機関向け)
ランサムウェア利用 CISAではUnknown

Progressの脆弱性一覧では、CVE-2026-8037の影響モジュールをAPI/UIとしています。修正版として一般提供版(GA)系列のLMOS 7.2.63.2と長期サポート機能版(LTSF)系列のLMOS 7.2.54.18が示されており、同社は修正が利用可能であると案内しています。

CISAはKEVで、Progress LoadMasterにコマンドインジェクションの脆弱性が存在し、認証されていない攻撃者が管理インターフェースへアクセスできる場合にコード実行につながる可能性があると説明しています。

ただし、CISAのKEV登録から分かるのは「実際の悪用を示す証拠が確認された」という点です。CISAは公開情報の中で、攻撃者の名称、被害組織、侵害台数、攻撃キャンペーンの規模、最終目的などを明らかにしていません。したがって、「特定の攻撃グループが大規模にLoadMasterを侵害している」「ランサムウェア攻撃に使用されている」といった内容を現時点で断定することはできません。

Progress Kemp LoadMasterとは

LoadMasterは、Webアプリケーションや各種業務サービスへの通信を複数のバックエンドサーバーへ振り分けるロードバランサーおよびアプリケーションデリバリーコントローラー(Application Delivery Controller:ADC)です。

Progressの製品情報では、負荷分散だけでなく、SSLオフロード、Webアプリケーションファイアウォール(Web Application Firewall:WAF)、認証、シングルサインオン(Single Sign-On:SSO)、高可用性などの機能を提供しています。ハードウェア、仮想アプライアンス、クラウド向けなど複数の形態があります。

こうしたADCは利用者と業務サーバーの間に配置されることが多く、企業ネットワークの重要な通信経路を担当します。そのため、LoadMaster自体が侵害された場合、単独のアプリケーションサーバーとは異なり、複数サービスへの通信や認証に関係する重要な位置を攻撃者に利用される可能性があります。

ただし、CVE-2026-8037が存在するだけで、LoadMasterの背後にあるすべてのサーバーが自動的に侵害されるわけではありません。実際の影響範囲は、LoadMasterの配置、管理ネットワーク、APIの到達範囲、保存されている設定や認証情報、背後のシステム構成などによって変わります。

LoadMaster以外のProgress関連製品も影響

CVE-2026-8037はLoadMasterだけに限定された問題ではありません。Progressの2026年6月の公式セキュリティ情報と製品別リリース情報では、ECS Connection Manager、Connection Manager for ObjectScale、MOVEit WAFについても同じCVEへの対応が案内されています。

例えばECS Connection ManagerとConnection Manager for ObjectScaleでは、2026年6月4日に公開された7.2.63.2のセキュリティ更新でCVE-2026-8037の修正が明記されています。MOVEit WAFについてもProgressがCVE-2026-8037を含む専用のCritical Security Bulletinを公開しています。

本記事はCISA KEVで製品名として挙げられているProgress Kemp LoadMasterを中心に解説していますが、これらの関連製品を利用している組織も対象外と判断せず、Progressの製品別アドバイザリで利用バージョンと修正版を確認してください。

認証不要のOSコマンド実行につながる

CVE-2026-8037は、外部から受け取った入力をOSコマンドとして利用する処理で、適切な処理が行われないことによって発生します。共通脆弱性タイプ一覧(Common Weakness Enumeration:CWE)では、OSコマンドなどに使われる特殊要素を適切に無害化できない問題を示すCWE-77に分類されています。

Progressは修正版のリリースノートで、暗号スイート設定(cipher set)の管理画面とAPIコマンドに存在していたコマンドインジェクションによるリモートコード実行(Remote Code Execution:RCE)を修正したと説明しています。

Zero Day Initiative(ZDI)のアドバイザリでは、影響を受けるLoadMasterに対してリモートの攻撃者が任意コードを実行でき、脆弱性の利用に認証は必要ないと評価されています。成功した場合、LoadMaster上でroot権限のコンテキストでコードを実行できる可能性があるとしています。

セキュリティ研究チームwatchTowr Labsも修正版と脆弱な版を比較し、認証前の処理からコード実行へつながることを確認しました。ただし、本記事では安全上の理由から、対象となるAPIパラメーター、リクエストの作成方法、コマンドを注入するための入力例、概念実証(Proof of Concept:PoC)の実行方法など、悪用へ直接利用できる具体的な手順は掲載しません。

「インターネットから必ず攻撃できる」とは限らない

CVE-2026-8037を評価する際に注意したいのが、攻撃者からLoadMasterの対象インターフェースへ到達できるかどうかです。

ProgressがCVE番号付与機関(CVE Numbering Authority:CNA)として登録した共通脆弱性評価システム(Common Vulnerability Scoring System:CVSS) v3.1の評価は9.6(Critical)で、攻撃元区分は隣接ネットワーク(Adjacent)になっています。一方、米国国立脆弱性データベース(National Vulnerability Database:NVD)の追加評価ではネットワーク(Network)として扱われ、CVSSは9.8(Critical)です。

つまり、同じCVEに9.6と9.8という2種類の値が存在します。これは脆弱性そのものが途中で変化したわけではなく、攻撃経路やセキュリティ境界の評価方法が異なるためです。

実務上は数値の差だけで優先度を決めるより、自社のLoadMasterでAPIや管理インターフェースがどのネットワークから到達可能なのかを確認する方が重要です。インターネット、VPN利用者、委託先ネットワーク、広い社内ネットワークなど、信頼できない端末からアクセスできる状態であれば優先度は高まります。

反対に、管理インターフェースが厳格に分離された管理ネットワークへ限定され、許可された管理端末からしか到達できない構成では、外部攻撃者が同じ経路を利用できる可能性は低下します。ただし、CISAが実悪用を確認した現在、ネットワーク制限だけを恒久的な代替策として扱うのではなく、修正版への更新を基本とするべきです。

最低修正版は7.2.63.2と7.2.54.18

ProgressがCVE-2026-8037の修正版として案内しているのは、一般提供版(GA)系列のLMOS 7.2.63.2と長期サポート機能版(LTSF)系列のLMOS 7.2.54.18です。

系列 更新前として確認対象となる版 CVE-2026-8037の最低修正版
一般提供版(GA) 7.2.63.1以前 7.2.63.2
長期サポート機能版(LTSF) 7.2.54.17以前 7.2.54.18

ただし、2026年8月11日時点でProgressの脆弱性一覧には、一般提供版(GA)系列の7.2.63.3と長期サポート機能版(LTSF)系列の7.2.54.19が、CVE-2026-8037とは別の複数のセキュリティ問題を修正する後続版として掲載されています。

そのため、「7.2.63.2または7.2.54.18へ上げれば今後の脆弱性も含めて最新」という意味ではありません。CVE-2026-8037だけを見る最低修正版と、現在利用可能な最新のサポート対象版は分けて考える必要があります。

管理者は自環境が一般提供版(GA)と長期サポート機能版(LTSF)のどちらを利用しているかを確認したうえで、Progressの最新リリース情報、保守契約、互換性要件に従って更新先を判断してください。すでに最低修正版を導入済みの場合も、後続のセキュリティ更新が残っていないか確認することを推奨します。

CISAの対応期限はすでに8月10日を迎えた

CISAはCVE-2026-8037を2026年8月7日にKEVへ追加し、米国連邦政府機関向けの対応期限を8月10日としました。

KEVは、単にCVSSが高い脆弱性を集めた一覧ではありません。CISAが実際の悪用を示す証拠を確認した脆弱性を掲載するカタログです。そのため、CVSSや公開PoCの有無だけを基準とする脆弱性管理よりも、実際の攻撃リスクを反映した優先順位付けに利用できます。

今回の期限が追加から3日後と短い点からも、米国政府機関に対して高い優先度での対応を要求していることが分かります。

民間組織に同じ期限は適用されませんが、KEVに掲載された脆弱性は通常の脆弱性一覧とは分けて優先管理し、外部公開資産や重要なネットワークアプライアンスから先に対応する運用が有効です。

ただし、CISAのKEVページではランサムウェアキャンペーンでの利用についてUnknownとされています。「悪用確認済み」と「ランサムウェアで悪用確認済み」は同じ意味ではありません。

ゼロデイとして悪用されたとは確認されていない

CVE-2026-8037は2026年6月4日にProgressから修正版が公開され、その後8月7日にCISA KEVへ追加されました。

その間の6月29日には、watchTowr Labsが技術分析とPoCを公開しました。eSentireのThreat Response Unit(TRU)は、同じ6月29日からCVE-2026-8037を狙う悪用試行を観測したと報告しています。ただし、eSentireが観測した試行では悪用は成功しておらず、侵害後の活動も確認されませんでした。

このため、公表情報から確認できる時系列は「6月4日に修正版公開→6月29日に技術分析とPoC公開、同日からeSentireが悪用試行を観測→8月7日にCISAがKEVへ追加」となります。6月29日の観測は実際の攻撃試行を示す重要な情報ですが、それだけで攻撃成功や修正版公開前からのゼロデイ悪用を示すものではありません。

したがって、現時点の公的情報だけから「修正前から攻撃者が悪用していたゼロデイだった」と断定することはできません。CISAが公開しているKEV情報には、最初の悪用時期や、攻撃者が修正版公開前から脆弱性を把握していたかどうかは記載されていません。

また、CISAは攻撃者の属性や具体的な侵害手法も公表していません。脅威グループ名や特定国家との関連を根拠なく付け加えるべきではありません。

現在確認できる事実は、Progressが6月に脆弱性と修正版を公開し、その後CISAが8月7日時点で実悪用の証拠を確認してKEVへ追加した、という時系列です。

なぜLoadMasterのRCEは優先度が高いのか

LoadMasterはアプリケーションの手前でトラフィックを受け付けるロードバランサーであり、ネットワーク境界に近い位置へ配置されることがあります。

こうしたネットワークアプライアンスは、一般的なクライアント端末とは異なり、長時間継続稼働し、複数の重要サービスへ接続します。侵害された場合、攻撃者が内部ネットワークへ活動範囲を広げる足掛かりとして利用する可能性も考慮する必要があります。

また、通常のWindowsやLinuxサーバーとは監視方法が異なるため、エンドポイント検知・対応(Endpoint Detection and Response:EDR)製品をそのまま導入できないアプライアンスもあります。ネットワーク機器の監査ログ、管理操作ログ、設定変更、外部通信などを別途監視していない場合、侵害後の活動を把握しにくくなる可能性があります。

そのため、今回のように認証前RCEと実悪用が組み合わさった場合は、通常の定期パッチサイクルまで待たず、外部公開状況と更新可否を確認する価値があります。

管理者が優先して確認すべきこと

1.LoadMasterのバージョンを確認する

最初に、運用中のLoadMasterがどのLMOS系列とバージョンを利用しているかを確認します。一般提供版(GA)系列で7.2.63.1以前、長期サポート機能版(LTSF)系列で7.2.54.17以前を利用している場合は、CVE-2026-8037の修正を含む版へ更新する必要があります。

更新先は最低修正版だけではなく、Progressが現在提供している最新のサポート対象版を確認してください。高可用性(High Availability:HA)構成を利用している場合は、更新手順とサービス影響も事前に確認する必要があります。

2.管理画面とAPIの到達範囲を確認する

LoadMasterの管理画面やAPIがインターネットへ公開されていないか確認します。また、インターネットから直接到達できなくても、広い社内ネットワーク、委託先、VPN利用者、開発用ネットワークなどから無制限にアクセスできる構成になっていないか確認してください。

管理アクセスは可能な限り専用管理ネットワークへ分離し、必要な管理端末や送信元IPアドレスに限定します。ネットワーク分離はパッチの代替ではありませんが、攻撃可能な経路を狭める多層防御として重要です。

3.更新前から公開されていた場合は侵害調査も検討する

CISAが実悪用を確認しているため、脆弱なLoadMasterの管理インターフェースやAPIが信頼できないネットワークから到達可能だった場合は、「更新したので対応完了」とするだけでなく、更新前の侵害可能性も検討する必要があります。

管理者は、利用可能な監査ログや管理ログ、設定変更履歴、認識していない管理操作、不審な外向き通信などを確認してください。具体的な確認項目は利用しているLoadMasterの構成やログ保存設定によって異なるため、Progressのサポート情報や自組織のインシデント対応手順に従います。

不審な痕跡が確認された場合は、対象アプライアンスだけでなく、LoadMasterから到達可能な管理基盤やバックエンドシステムも調査範囲に含める必要があります。

4.アプライアンスを脆弱性管理の対象から外さない

ロードバランサー、VPN装置、BMC、ファイアウォールなどのアプライアンスは、一般的なサーバーと更新経路が異なるため、OSやミドルウェアのパッチ管理から漏れることがあります。

資産台帳には製品名だけでなく、ファームウェアやOSのバージョン、管理IPアドレス、管理インターフェースの公開範囲、保守期限を含め、CISA KEVやベンダーアドバイザリと照合できる状態にしておくことが重要です。

今回の脆弱性で誤解しやすい点

第一に、「CVSS 9.6と9.8のどちらが正しいのか」という点です。Progress CNAとNVDで攻撃経路などの評価が異なるため、両方の数値が存在します。どちらかが単純な誤記というわけではありません。

第二に、「すべてのLoadMasterがインターネットから直接攻撃できる」という意味ではありません。攻撃には脆弱なインターフェースへ到達できることが必要です。実際の危険度は管理ネットワークの設計によって変わります。

第三に、「CISA KEV入り=ランサムウェア攻撃」とも限りません。CISAは実悪用を確認していますが、ランサムウェアでの利用はUnknownとしています。

第四に、「7.2.63.2または7.2.54.18なら現在の全セキュリティ問題に対応済み」という意味でもありません。これらはCVE-2026-8037の最低修正版であり、Progressはその後の別の脆弱性を修正した新しい版も公開しています。

まとめ

CISAは2026年8月7日、Progress Kemp LoadMasterのCVE-2026-8037をKEVへ追加しました。この脆弱性はAPI/UIのOSコマンドインジェクションで、認証されていない攻撃者が対象インターフェースへ到達できる場合、LoadMaster上で任意のコマンドを実行される可能性があります。

Progressは6月4日に修正版を公開しており、CVE-2026-8037の最低修正版は一般提供版(GA)系列のLMOS 7.2.63.2、長期サポート機能版(LTSF)系列のLMOS 7.2.54.18です。ただし、その後にも別のセキュリティ修正を含む新しい版が公開されているため、実際の更新では最新のサポート対象版を確認してください。

CISAは実悪用を確認していますが、攻撃者、被害規模、ランサムウェアとの関係、修正版公開前から悪用されていたかどうかは明らかにしていません。事実として確認できる範囲を超えて攻撃キャンペーンを断定するべきではありません。

LoadMasterを運用する組織は、バージョン確認と更新に加えて、管理画面とAPIの到達範囲を確認してください。脆弱な状態で外部や信頼できないネットワークからアクセス可能だった場合は、更新だけでなく侵害の可能性を含めたログや設定の確認も検討する必要があります。

参考情報

コメント

タイトルとURLをコピーしました