Progress LoadMaster の未認証コマンドインジェクション（悪用確認済み・KEV）

Critical（CVSS 9.8）に分類されるProgress Progress ADC 製品（LoadMaster アプライアンス）の脆弱性です。ロードバランサ製品である Progress LoadMaster に、コマンドインジェクションの欠陥がある。 NVD の記述によれば、**API の複数のコマンドエンドポイントで入力のサニタイズが不十分**であり、未認証の攻撃者が LoadMaster アプライアンス上で任意のコマンドを実行できる。認証も利用者の操作も要らない。**前提は API が有効になっていること**で、報告された経路は `/accessv2` エンドポイントである。 CVSS 3.1 基本値は評価者によって分かれている。NVD は 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）とし、ベンダーである Progress は 9.6（AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）としている。差は攻撃元区分にあり、NVD が「ネットワーク（AV:N）」、ベンダーが「隣接ネットワーク（AV:A）」と見ている。**どちらで読んでも Critical であることは変わらない**が、AV:A のほうは「管理ネットワークに到達できる位置が必要」という前提を置いている点が異なる。当サイトは掲載基準に従い NVD 側の 9.8 を採る。 **影響を受ける版は次のとおりである。** GA 系は **7.2.60.0 から 7.2.63.1 まで**、LTSF 系は **7.2.45.12 から 7.2.54.17 まで**。NVD の CPE も「7.2.54.18 未満」および「7.2.55.0 以上 7.2.63.2 未満」として同じ範囲を示している。 **対象は LoadMaster だけではない。** NVD の CPE には Progress の ECS Connection Manager・Object Scale Connection Manager・MOVEit WAF も 7.2.63.2 未満として含まれている。これらは LoadMaster と同じ基盤を共有する製品群で、LoadMaster という名前だけで棚卸しをすると取りこぼす。 CISA は 2026-08-07 に本CVEを KEV（悪用が確認された脆弱性カタログ）へ収載し、是正期限を 2026-08-10 としている。つまり「いずれ狙われる」ではなく、**すでに実際の攻撃で使われている**段階である。ランサムウェアキャンペーンでの利用有無は KEV 上「Unknown」となっている。 **悪用の観測はKEV収載よりかなり早い。** eSentire の Threat Response Unit は **2026-06-29** から本CVEを狙う悪用の試行を確認しており、これは動作する PoC が公開された当日である。初回開示は 2026-06-04 なので、**開示からおよそ3週間強で実際の攻撃が始まった**という時間軸になる。 影響が大きいのは、LoadMaster がロードバランサ／ADC（アプリケーションデリバリコントローラ）であるという性質による。この機器は業務システムの手前に置かれ、TLS を終端し、通信を各サーバーへ振り分ける。ここが取られると、復号後の平文通信、TLS 秘密鍵、振り分け先のサーバー一覧といった、下流のすべてが見える位置を渡すことになる。単なる1台の侵害では終わらない。

**修正版へ更新するのが唯一の恒久対応である。** 版系列ごとに上げ先が違う点に注意が要る。 - **GA 系は 7.2.63.2 以降**へ更新する（7.2.63.1 以前が対象） - **LTSF 系は 7.2.54.18 以降**へ更新する（7.2.54.17 以前が対象） LTSF（Long Term Support Feature）を使っている環境が GA 系の番号だけを見て「うちは 7.2.54 系だから古い、対象外だ」と読み違えないこと。**系列が違えば修正版の番号も違う**。まず自機がどちらの系列かを確認し、その系列の修正版と比べる。 棚卸しでは **LoadMaster 以外の Progress 製品も対象に含める**。ECS Connection Manager・Object Scale Connection Manager・MOVEit WAF は同じ 7.2.63.2 未満が対象なので、製品名で絞った台帳だと漏れる。 更新までの間の緩和は、管理 API の到達範囲を絞ることである。**インターネットから LoadMaster の管理インターフェースに直接到達できる状態になっていないかを最優先で確認する。** ベンダーが攻撃元区分を「隣接ネットワーク」と評価していることからも、管理面を業務ネットワークから分離し、到達元を運用端末に限定する構成が効く。**API を使っていないなら無効化すること自体が緩和になる**（報告された経路が API の `/accessv2` であるため）。ただしこれらは緩和であって修正ではない。 **是正期限（2026-08-10）を過ぎている、あるいは管理面を露出していた期間がある場合は、更新だけでは足りない。** 未認証RCEであり、悪用は 2026-06-29 から観測されている。更新前にすでに実行されている可能性を前提に、侵害の痕跡調査（設定の変更履歴・追加された管理者アカウント・アプライアンスからの外向き通信・不審なスクリプトの配置）を行う。さらに、**この機器が保持していた TLS 秘密鍵・証明書・管理者資格情報は全面的に再発行する。** ロードバランサが終端していた通信は、鍵が渡っていれば後から復号され得る。 露出していた期間の判定には、機器のアクセスログだけでなく、前段のファイアウォールやクラウドのフローログを併せて見る。アプライアンス上のログは攻撃者に消される前提で扱う。**露出期間の下端は 2026-06-29 まで遡って考える**のが安全側である。

Progress Progress ADC 製品（LoadMaster アプライアンス） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-8037）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/10 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が無い場合はクラウドサービス向けの BOD 26-04 の指針に従うか、製品の使用を中止する。各資産のインターネット露出を評価する責任は利用者側にある。