Un équilibreur de charge censé protéger le périmètre réseau qui ouvre lui-même une porte dérobée vers le root, sans mot de passe : voilà le programme de la CVE-2026-8037. La vulnérabilité touche l’API de Progress Kemp LoadMaster et permet l’exécution de commandes système avec les privilèges les plus élevés, sans authentification. Le correctif existe depuis début juin 2026. Une preuve de concept publique circule déjà.
Points clés
- CVE-2026-8037 permet une exécution de commandes en root sans authentification via l’API de LoadMaster
- Versions touchées : GA v7.2.63.1 et LTSF v7.2.54.17 et antérieures ; corrigées en v7.2.63.2 et v7.2.54.18
- Score CVSS de 9,6 selon le CERT Santé, advisory ZDI-26-340 publié le 9 juin 2026
- Un PoC public circule désormais ; aucun contournement officiel, le patch est la seule parade
Une injection de commandes au cœur de l’API
Les avis de sécurité décrivent une injection de commandes OS sur plusieurs endpoints de l’API de LoadMaster. Des entrées non neutralisées suffisent à faire exécuter des commandes arbitraires sur l’appliance par un attaquant distant. Les versions concernées incluent LoadMaster GA v7.2.63.1 et antérieures, ainsi que LoadMaster LTSF v7.2.54.17 et antérieures.
Le score CVSS varie selon les sources. Le CERT Santé la classe à 9,6 sur 10, avec un impact critique sur la confidentialité, l’intégrité et la disponibilité. La Zero Day Initiative de Trend Micro a publié l’advisory ZDI-26-340 le 9 juin 2026, en précisant que l’exécution de code se fait dans le contexte root.
Des correctifs disponibles depuis début juin
Progress a publié son bulletin de sécurité en juin 2026, avec les versions corrigées GA v7.2.63.2 et LTSF v7.2.54.18. Le Centre canadien pour la cybersécurité a relayé l’alerte le 5 juin et invité les administrateurs à appliquer les mises à jour. Plusieurs partenaires régionaux ont repris la même consigne.
Au moment de la publication des correctifs, la faille n’était pas décrite comme activement exploitée. Le CERT Santé notait alors l’absence de preuve de concept en sources ouvertes. Des travaux de veille plus récents, fin juin 2026, mentionnent désormais un PoC public. Les chercheurs de watchTowr Labs ont détaillé le chemin d’exploitation, d’un tas non initialisé jusqu’à une exécution de code distante avant authentification.
Une cible posée pile sur le périmètre réseau
LoadMaster est un contrôleur de livraison d’applications et un équilibreur de charge déployé en bordure de réseau, souvent doté de fonctions WAF. L’exploitation passe par l’API et dépend de l’exposition de l’interface de gestion. Un simple accès depuis un réseau adjacent suffit si le composant vulnérable n’a pas été patché. Autrement dit, le garde du corps laisse la porte ouverte.
Les administrateurs doivent vérifier la version installée, déployer la mise à jour fournie par Progress et restreindre l’exposition de l’API aux seuls réseaux de confiance. Aucun contournement officiel n’est documenté : le correctif reste la seule vraie réponse.
