Wenn dein Load-Balancer die Firma am Laufen hält, solltest du jetzt ganz genau hinschauen. Im Progress Kemp LoadMaster klafft eine Lücke, durch die ein Angreifer ganz ohne Passwort Befehle als Root auf dem Gerät ausführen kann. Und das ist keine Theorie mehr: Die ersten Angriffe laufen bereits.
SO SCHLIMM ist die Lücke wirklich
Die Schwachstelle trägt die Kennung CVE-2026-8037 und einen Schweregrad von 9,6 von 10 — das ist tiefrot. Es handelt sich um eine OS-Command-Injection: Über den API-Endpunkt /accessv2 lässt sich ungefiltert eingeschleuster Text in einen Shell-Befehl schmuggeln. Der wird dann direkt auf dem Gerät ausgeführt. Kein Login, keine Hürde.
Technisch steckt der Fehler in der Funktion escape_quotes(): Sie legt einen Speicherbereich an, vergisst aber, ihn sauber abzuschließen. Dadurch liest das Gerät über die eigentlichen Daten hinaus — und genau diese Lücke nutzen Angreifer aus, um ihren eigenen Befehl einzuschleusen.
GEFAHR: Die Angriffe haben schon begonnen
Die Sicherheitsfirma eSentire meldet aktive Ausnutzungsversuche seit dem 29. Juni 2026. Bisher blieben die beobachteten Angriffe erfolglos — aber es gibt bereits einen öffentlichen Proof-of-Concept und detaillierte technische Analysen. Erfahrungsgemäß heißt das: Die ernsthaften Angriffe kommen jetzt erst richtig ins Rollen. Wer wartet, spielt mit dem Feuer.
Bist DU betroffen?
Verwundbar sind alle Geräte mit aktivierter API in diesen Versionen: GA 7.2.63.1 und älter sowie LTSF 7.2.54.17 und älter. Der LoadMaster ist ein Load-Balancer, der oft direkt am Internet-Rand steht — also genau dort, wo Angreifer als Erstes klopfen.
So rettest du dein System in 5 MINUTEN
Progress hat den Fehler bereits behoben, indem der Speicher jetzt sauber genullt und korrekt abgeschlossen wird. Deine Aufgabe: Sofort updaten auf GA 7.2.63.2 oder LTSF 7.2.54.18. Kannst du nicht sofort patchen, deaktiviere die API oder schotte die Verwaltungsschnittstelle strikt vom offenen Internet ab. Und prüfe deine Logs auf verdächtige Zugriffe auf /accessv2.
Häufige Fragen
Welche Versionen sind betroffen?
Wie merke ich, ob mein Gerät angegriffen wurde?
/accessv2 und auf unerwartete Prozesse oder Systembefehle. Da der Angriff ohne Login funktioniert, tauchen keine fehlgeschlagenen Login-Versuche auf — achte stattdessen auf auffällige API-Aufrufe von unbekannten Adressen.Wie behebe ich das Problem konkret?
Gab es schon aktive Angriffe?
Quellen: The Hacker News, eSentire, watchTowr Labs.