情報取得日: 2026/08/07／最終確認: 2026/08/10・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-8037 |
|---|---|
| 製品 | Progress / Progress ADC 製品（LoadMaster アプライアンス） |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-77（コマンドに使われる特殊要素の無害化不備＝コマンドインジェクション） |
| 登録／公開日 | 2026/08/07 |
| KEV 期限 | 2026/08/10 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が無い場合はクラウドサービス向けの BOD 26-04 の指針に従うか、製品の使用を中止する。各資産のインターネット露出を評価する責任は利用者側にある。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-8037 |
ロードバランサ製品である Progress LoadMaster に、コマンドインジェクションの欠陥がある。 NVD の記述によれば、**API の複数のコマンドエンドポイントで入力のサニタイズが不十分**であり、未認証の攻撃者が LoadMaster アプライアンス上で任意のコマンドを実行できる。認証も利用者の操作も要らない。 CVSS 3.1 基本値は評価者によって分かれている。NVD は 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）とし、ベンダーである Progress は 9.6（AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）としている。差は攻撃元区分にあり、NVD が「ネットワーク（AV:N）」、ベンダーが「隣接ネットワーク（AV:A）」と見ている。**どちらで読んでも Critical であることは変わらない**が、AV:A のほうは「管理ネットワークに到達できる位置が必要」という前提を置いている点が異なる。当サイトは掲載基準に従い NVD 側の 9.8 を採る。 CISA は 2026-08-07 に本CVEを KEV（悪用が確認された脆弱性カタログ）へ収載し、是正期限を 2026-08-10 としている。つまり「いずれ狙われる」ではなく、**すでに実際の攻撃で使われている**段階である。ランサムウェアキャンペーンでの利用有無は KEV 上「Unknown」となっている。 影響が大きいのは、LoadMaster がロードバランサ／ADC（アプリケーションデリバリコントローラ）であるという性質による。この機器は業務システムの手前に置かれ、TLS を終端し、通信を各サーバーへ振り分ける。ここが取られると、復号後の平文通信、TLS 秘密鍵、振り分け先のサーバー一覧といった、下流のすべてが見える位置を渡すことになる。単なる1台の侵害では終わらない。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 等で稼働する LoadMaster（AWS Marketplace 提供の仮想アプライアンスを含む）を Progress の修正版へ更新。Security Group で管理 API の外部公開を止める
AWS 側のマネージド修正は無く、アプライアンスの更新で対応する。露出していた場合は TLS 証明書・秘密鍵を ACM 等で再発行し、下流サーバーの資格情報も入れ替える。ALB/NLB へ置き換える判断もあり得る。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GCE 上の LoadMaster を修正版へ更新。VPC ファイアウォールで管理 API を運用ネットワーク限定にする
GCP 固有のパッチは無く、アプライアンスの更新で対応する。Cloud Load Balancing へ寄せる構成変更も選択肢になる。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上の LoadMaster を修正版へ更新。NSG で管理 API を内部限定にする
Azure 固有のパッチは無く、アプライアンスの更新で対応する。Application Gateway への移行も検討対象。
参照リンク
|
| Linux | ベンダーFW更新 |
ディストリの標準パッケージではなくベンダー配布のアプライアンスファームウェアのため、Progress の配布する修正版へ更新する
OS ディストリのセキュリティ更新の対象外。LoadMaster 本体の更新で対応する。
参照リンク
|
**修正版へ更新するのが唯一の恒久対応である。** Progress は 2026年6月のセキュリティ速報で修正を案内しており、自組織のバージョンが該当するかを速報の一覧で確認して更新する。 更新までの間の緩和は、管理 API の到達範囲を絞ることである。**インターネットから LoadMaster の管理インターフェースに直接到達できる状態になっていないかを最優先で確認する。** ベンダーが攻撃元区分を「隣接ネットワーク」と評価していることからも、管理面を業務ネットワークから分離し、到達元を運用端末に限定する構成が効く。ただしこれは緩和であって修正ではない。 **是正期限（2026-08-10）を過ぎている、あるいは管理面を露出していた期間がある場合は、更新だけでは足りない。** 未認証RCEなので、更新前にすでに実行されている可能性を前提に、侵害の痕跡調査（設定の変更履歴・追加された管理者アカウント・アプライアンスからの外向き通信・不審なスクリプトの配置）を行う。さらに、**この機器が保持していた TLS 秘密鍵・証明書・管理者資格情報は全面的に再発行する。** ロードバランサが終端していた通信は、鍵が渡っていれば後から復号され得る。 露出していた期間の判定には、機器のアクセスログだけでなく、前段のファイアウォールやクラウドのフローログを併せて見る。アプライアンス上のログは攻撃者に消される前提で扱う。
Critical（CVSS 9.8）に分類されるProgress Progress ADC 製品（LoadMaster アプライアンス）の脆弱性です。ロードバランサ製品である Progress LoadMaster に、コマンドインジェクションの欠陥がある。 NVD の記述によれば、**API の複数のコマンドエンドポイントで入力のサニタイズが不十分**であり、未認証の攻撃者が LoadMaster アプライアンス上で任意のコマンドを実行できる。認証も利用者の操作も要らない。 CVSS 3.1 基本値は評価者によって分かれている。NVD は 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）とし、ベンダーである Progress は 9.6（AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）としている。差は攻撃元区分にあり、NVD が「ネットワーク（AV:N）」、ベンダーが「隣接ネットワーク（AV:A）」と見ている。**どちらで読んでも Critical であることは変わらない**が、AV:A のほうは「管理ネットワークに到達できる位置が必要」という前提を置いている点が異なる。当サイトは掲載基準に従い NVD 側の 9.8 を採る。 CISA は 2026-08-07 に本CVEを KEV（悪用が確認された脆弱性カタログ）へ収載し、是正期限を 2026-08-10 としている。つまり「いずれ狙われる」ではなく、**すでに実際の攻撃で使われている**段階である。ランサムウェアキャンペーンでの利用有無は KEV 上「Unknown」となっている。 影響が大きいのは、LoadMaster がロードバランサ／ADC（アプリケーションデリバリコントローラ）であるという性質による。この機器は業務システムの手前に置かれ、TLS を終端し、通信を各サーバーへ振り分ける。ここが取られると、復号後の平文通信、TLS 秘密鍵、振り分け先のサーバー一覧といった、下流のすべてが見える位置を渡すことになる。単なる1台の侵害では終わらない。
**修正版へ更新するのが唯一の恒久対応である。** Progress は 2026年6月のセキュリティ速報で修正を案内しており、自組織のバージョンが該当するかを速報の一覧で確認して更新する。 更新までの間の緩和は、管理 API の到達範囲を絞ることである。**インターネットから LoadMaster の管理インターフェースに直接到達できる状態になっていないかを最優先で確認する。** ベンダーが攻撃元区分を「隣接ネットワーク」と評価していることからも、管理面を業務ネットワークから分離し、到達元を運用端末に限定する構成が効く。ただしこれは緩和であって修正ではない。 **是正期限（2026-08-10）を過ぎている、あるいは管理面を露出していた期間がある場合は、更新だけでは足りない。** 未認証RCEなので、更新前にすでに実行されている可能性を前提に、侵害の痕跡調査（設定の変更履歴・追加された管理者アカウント・アプライアンスからの外向き通信・不審なスクリプトの配置）を行う。さらに、**この機器が保持していた TLS 秘密鍵・証明書・管理者資格情報は全面的に再発行する。** ロードバランサが終端していた通信は、鍵が渡っていれば後から復号され得る。 露出していた期間の判定には、機器のアクセスログだけでなく、前段のファイアウォールやクラウドのフローログを併せて見る。アプライアンス上のログは攻撃者に消される前提で扱う。
Progress Progress ADC 製品（LoadMaster アプライアンス） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-8037）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/10 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が無い場合はクラウドサービス向けの BOD 26-04 の指針に従うか、製品の使用を中止する。各資産のインターネット露出を評価する責任は利用者側にある。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/10）。