Progressの負荷分散装置「LoadMaster」に深刻な脆弱性、約800回の攻撃試行を受け米CISAが悪用カタログに追加

要点

• Progress Softwareのロードバランサー製品「LoadMaster」に、認証なしで遠隔から任意コードを実行できる深刻な脆弱性（CVE-2026-8037、CVSSスコア 9.6）が確認された。

• セキュリティ企業の調査により、過去41日間で日本を含む18か国のIPアドレスから合計792件の攻撃試行が観測されている。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は本脆弱性を「悪用が確認された脆弱性（KEV）」カタログに追加し、連邦機関にパッチ適用を指示した。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月7日、Progress Softwareのロードバランサー製品「Progress Kemp LoadMaster」に存在する重大なセキュリティ上の欠陥を、「悪用が確認された脆弱性（KEV: Known Exploited Vulnerabilities）」カタログに追加したと発表しました。

• この措置は、実際のネットワーク環境において該当の脆弱性を悪用しようとする攻撃活動が確認されたことを受けたものです。本脆弱性を悪用されると、攻撃者に機器の制御権を奪われる危険性があり、CISAは対象機関に対して迅速な修正対応を求めています。

認証なしで機器を制御可能な脆弱性「CVE-2026-8037」

今回KEVカタログに追加された脆弱性は「CVE-2026-8037」として追跡されているもので、共通脆弱性評価システム（CVSS）のスコアでは10点満点中「9.6」と、極めて深刻度の高い「クリティカル（Critical）」に分類されています。

この問題は、外部からの入力を適切に処理できないことに起因する「コマンドインジェクション（不正な命令文を挿入・実行させる攻撃手法）」の欠陥です。CISAの発表によると、LoadMasterアプライアンス内にある複数のコマンド受付エンドポイントにおいて、入力データのサニタイズ（無害化処理）が不十分であったため、攻撃者がこれを利用して機器上で任意のコマンドを実行できる状態になっていたといいます。

最大の脅威は、攻撃者が対象のLoadMaster機器に対して有効なログイン情報（ユーザー名やパスワードなどの認証情報）を一切持っていなくても、遠隔からコマンドを送り込んで実行できてしまう点にあります。ネットワークのトラフィックを振り分ける重要機器が、未認証の第三者によって直接操作されるリスクを抱えていたことになります。

コード内の引用符処理関数に起因する不具合

この脆弱性の構造については、セキュリティ調査機関のwatchTowr Labsが2026年6月に公開した解析レポートで詳しく言及されています。

同機関の報告によると、問題の根本原因はLoadMasterのアプリケーション内部に存在する「escape_quotes()」と呼ばれる関数にありました。この関数がユーザーから入力されたデータのクォート（引用符）処理などを適切に行えていなかったため、想定外の入力値がそのままシステム側のコマンド解釈に渡ってしまい、結果としてコマンドインジェクションが可能になっていたと説明されています。

18か国から792件の攻撃試行を観測、日本からのアクセスも

この欠陥を標的とした攻撃の動きは、すでに複数のセキュリティベンダーによって捉えられています。

カナダのセキュリティ企業eSentireは、CISAの発表から1か月以上前の段階で、この脆弱性を狙った攻撃活動が発生していることを報告していました。同社の当時の観測では、攻撃の試みの多くは標的への侵入に失敗していたとされていますが、執拗な探索が続けられていたことがうかがえます。eSentireは、攻撃の発信元として以下の3つのIPアドレスを特定し、公表していました。

• 192.42.116[.]58
• 192.42.116[.]105
• 146.70.139[.]154

さらに、脅威インテリジェンスプラットフォームのKEVIntelが収集したテレメトリデータ（遠隔計測データ）によると、過去41日間のうちに合計792回もの攻撃試行が記録されたことが明らかになりました。

これらの攻撃は、世界18か国に分散する65件の固有IPアドレスから発信されていました。発信元の国には、アメリカ、中国、オーストラリア、インドネシア、ポーランドのほか、日本も含まれていたと報告されています。直近の動向としては、2026年8月4日にも5件の攻撃試行が検知されており、現在進行形で悪用を試みる通信が行われている実態が浮き彫りとなっています。

米連邦機関に対し8月10日までのパッチ適用を要請

野生環境（実際のインターネット上）での活発な攻撃試行が確認されたことを重く見たCISAは、拘束力のある運用指令「BOD（Binding Operational Directive）26-04」に基づき、米連邦文民政府機関（FCEB）に対してセキュリティパッチの適用を義務付けました。

CISAが定めた対応期限は2026年8月10日となっており、各機関はネットワークを保護するために必要な修正を直ちに完了させることが求められています。