Progress LoadMaster touché par une injection de commandes critique — 100 000 déploiements exposés, 80 % du Fortune 500 concerné
La CISA a ajouté CVE-2026-8037 au catalogue KEV le **7 août 2026** — l’injection de commandes sur Progress Kemp LoadMaster est exploitée activement par des gangs ransomware. Mettez à jour avant que votre load balancer ne devienne le point d’entrée de votre infrastructure.
12 août 2026. La CISA inscrit CVE-2026-8037 au catalogue KEV. Progress Software confirme l’exploitation active. 100 000 déploiements LoadMaster exposés. Si votre load balancer s’appelle Kemp, vous avez probablement déjà un problème.
L’Application Delivery Controller (ADC) de Progress — ex-Kemp Technologies, racheté en 2021 — est un pilier invisible de l’Internet d’entreprise. Il répartit le trafic, termine le TLS, applique des règles de routage. Amazon l’utilise. L’US Air Force aussi. Progress revendique 80 % des entreprises du Fortune 500 parmi ses clients pour l’ensemble de ses produits, avec plus de 100 000 déploiements LoadMaster dans le monde.
Une injection de commandes sur ce maillon, et c’est toute la chaîne de services qui tombe.
Une injection de commandes sur l’interface d’administration
CVE-2026-8037 est une vulnérabilité d’injection de commandes dans l’interface d’administration de LoadMaster. Un attaquant non authentifié peut envoyer une requête spécialement forgée à l’interface web et exécuter des commandes arbitraires avec les privilèges de l’application — généralement root sur l’appliance.
Le CVSS n’a pas encore été publié officiellement par NVD au moment où nous écrivons ces lignes, mais son inscription au catalogue KEV (Known Exploited Vulnerabilities) de la CISA signifie une chose : des acteurs malveillants l’exploitent déjà dans la nature. La directive BOD 22-01 impose aux agences fédérales américaines de corriger la faille sous 21 jours — et vous devriez faire pareil.
Progress a publié les correctifs en juillet 2026, avant l’inscription KEV. Les versions corrigées incluent LoadMaster 7.2.61.0 et supérieures. Si votre appliance tourne encore sur une version antérieure, chaque heure compte.
Pourquoi un load balancer est une cible de choix
Un ADC comme LoadMaster n’est pas un simple répartiteur de trafic. Il est positionné en amont de tous les serveurs applicatifs. Il termine le TLS — il voit donc le trafic en clair. Il applique des règles de routage basées sur les en-têtes HTTP, les cookies, parfois le contenu du corps de requête. Il gère l’authentification et les politiques de pare-feu applicatif (WAF).
Pour un attaquant, compromettre le load balancer offre trois bénéfices immédiats :
- Interception du trafic : tout le flux chiffré transite en clair par l’ADC. L’attaquant capture identifiants, tokens de session, données métier.
- Pivot vers le backend : depuis le load balancer, le réseau interne est accessible. Les serveurs applicatifs, les bases de données, les annuaires — tout est à portée de sonde.
- Persistance discrète : un load balancer ne génère pas d’alertes EDR. Il ne fait pas partie des surfaces qu’on surveille en priorité. Une compromission peut rester indétectée des mois.
Les gangs ransomware l’ont compris. Selon la CISA, des groupes exploitent déjà la faille pour déployer des ransomwares après avoir franchi le périmètre via LoadMaster. Le scénario classique : compromission de l’ADC → mouvement latéral → exfiltration → chiffrement.
LoadMaster dans l’écosystème Progress
Progress Software n’est pas un inconnu des équipes sécurité. L’éditeur a été au cœur de la vague d’exploitation MOVEit Transfer en 2023, quand le groupe Cl0p avait compromis des milliers d’organisations via une injection SQL zero-day. L’incident avait touché BBC, British Airways, Shell et des dizaines d’agences gouvernementales.
Ce précédent rend l’actualité LoadMaster particulièrement préoccupante. Progress a renforcé ses processus de sécurité depuis MOVEit, mais la surface d’attaque de ses produits reste immense — et les attaquants savent que les appliances réseau sont mises à jour moins fréquemment que les postes de travail.
Le fait que CVE-2026-8037 soit déjà sous exploitation active avant son inscription KEV suggère que les attaquants surveillent les correctifs Progress avec attention. Dès qu’un patch sort, ils font de la rétro-ingénierie pour retrouver la faille et ciblent les déploiements non corrigés. Ce patch diffing est devenu la norme pour les appliances réseau.
Ce que vous devez faire maintenant
1. Vérifiez votre version. Connectez-vous à l’interface d’administration LoadMaster et vérifiez le numéro de version dans System > System Administration > Update Software. Si vous êtes en dessous de 7.2.61.0, vous êtes vulnérable.
2. Appliquez le correctif immédiatement. Le processus de mise à jour LoadMaster est documenté par Progress. Prévoyez une fenêtre de maintenance : un redémarrage est nécessaire.
# Vérification rapide de la version depuis le CLI LoadMaster
ssh [email protected] "cat /etc/progress-release"3. Isolez l’interface d’administration. En attendant le correctif — ou comme mesure de défense en profondeur — restreignez l’accès à l’interface web de LoadMaster à un réseau de gestion dédié. Aucune interface d’administration d’ADC ne devrait être exposée sur Internet.
4. Vérifiez les logs. Recherchez des connexions inhabituelles sur l’interface d’administration, des créations de comptes inconnues ou des modifications de configuration non planifiées. Les logs LoadMaster sont accessibles via System > Logging.
5. Scanner l’ensemble du parc. Si vous utilisez LoadMaster, vous en avez probablement plusieurs — production, pré-production, DR. Vérifiez chaque instance.
Le verdict
CVE-2026-8037 est une faille critique sur un équipement qui touche le cœur du réseau d’entreprise. L’exploitation active par des gangs ransomware en fait une urgence de niveau incident response, pas une tâche de maintenance planifiée.
Si votre LoadMaster est exposé — même partiellement — corrigez aujourd’hui. Si vous découvrez la faille dans une semaine, il sera trop tard : les attaquants sont déjà dans la boucle. Et contrairement à MOVEit, un load balancer ne se contente pas de transférer des fichiers : il voit tout le trafic de votre entreprise.