Amerika Birleşik Devletleri: Kritik Güvenlik Açığı, Kimliği Doğrulanmamış Uzaktaki Saldırganların Rastgele Komut Çalıştırmasına Olanak

Kritik önemdeki güvenlik açığı, kimliği doğrulanmamış uzaktaki saldırganların rastgele komutlar çalıştırmasına olanak tanıyor. ABD siber güvenlik ajansı CISA, federal kurumları, saldırılarda kullanılan Progress Kemp LoadMaster'daki kritik önemdeki bir güvenlik açığını derhal yamamaya çağırdı. CVE-2026-8037 (CVSS puanı 9.6) olarak izlenen açık, kimlik doğrulaması olmadan uzaktan kod yürütme (RCE) için istismar edilebilen bir işletim sistemi komut enjeksiyonu olarak tanımlanıyor.

Progress'in danışma belgesine göre, uzaktaki bir saldırgan, temizlenmemiş API girdileri aracılığıyla LoadMaster cihazında rastgele komutlar çalıştırmak için bu hatayı istismar edebilir. 4 Haziran'da CVE-2026-33691 ile birlikte açıklanan güvenlik kusuru ayrıca ECS Connection Manager, Connection Manager for ObjectScale ve MOVEit WAF'ı da etkiliyor. Belirli kusur, accessv2 uç noktasına sağlanan apiuser parametresinin işlenmesinde bulunuyor; bir saldırgan bu güvenlik açığından yararlanarak root bağlamında kod çalıştırabilir.