Progress LoadMaster의 CVE-2026-8037 취약점은 API 엔드포인트의 입력 검증 미흡에서 비롯됐습니다. 공격자가 인증 절차 없이도 기기에 임의의 OS 명령어를 주입해 원격 코드 실행(RCE)을 수행할 수 있다는 점에서 치명적입니다.
CVE-2026-8037 취약점 개요 및 위험도
Progress Software의 로드밸런서 및 앱 딜리버리 컨트롤러(ADC) 제품군인 Kemp LoadMaster에서 심각한 보안 결함이 발견됐습니다. CVE-2026-8037로 명명된 이 취약점은 인증되지 않은 공격자가 원격에서 기기 제어권을 가져오는 OS 명령어 주입(Command Injection) 취약점입니다.
위험도 평가도 극히 높습니다. Progress Software CNA가 할당한 공식 CVSS v3.1 점수는 9.6점으로 ‘Critical(심각)’ 단계입니다.
기술적 분석: 무인증 RCE 메커니즘
CVE-2026-8037의 핵심 문제는 Progress ADC Products의 API 내 다수 명령 엔드포인트에서 입력값을 검증하고 정제(Sanitization)하는 과정이 제대로 이루어지지 않는다는 데 있습니다.
구체적인 기술적 결함 위치는 다음과 같습니다.
- 결함 위치 특정: TrendAI의 ZDI-26-342 분석에 따르면 이번 취약점은
accessv2엔드포인트로 전달되는apiuser파라미터의 처리 로직에서 발생합니다. - 취약점 작동 원리: Progress ADC Products의 API 내 다수 명령 엔드포인트의 입력 검증이 미흡해, 인증되지 않은 공격자가 LoadMaster 기기에 임의 명령을 내리게 됩니다.
- 인증 우회: 가장 위험한 점은 이 과정에서 어떠한 사용자 인증(Authentication) 절차도 요구되지 않는다는 것입니다. 외부에서 API에 접근할 수 있기만 하면 누구나 즉시 공격을 시도하는 구조입니다.
악용 현황 및 PoC 공개 상태
이 취약점은 이론적인 위험에 그치지 않습니다. 실제 공격 가능성이 매우 높은 상태입니다. 취약점 공개 이후 공격자들이 쓸 도구가 빠르게 퍼졌습니다.
- 타임라인 및 PoC 공개: 취약점은 2026년 6월 4일 처음 공개됐고, 불과 약 한 달 뒤인 2026년 6월 29일에는 eSentire Threat Response Unit이 기능성 Proof-of-Concept(PoC) 익스플로잇 코드를 공개했습니다.
- CISA KEV 등재: 미국 사이버보안 및 인프라 보안국(CISA)은 실제 악용 사례가 확인된 취약점 목록인 KEV(Known Exploited Vulnerabilities) 카탈로그에 2026년 8월 7일 이 취약점을 정식 등재했습니다.
- 대응 긴급성: CISA는 KEV 등재와 함께 2026년 8월 10일까지라는 매우 짧은 대응 기한을 설정해 관리자들의 즉각적인 패치를 촉구했습니다.
대응 방안: 패치 및 네트워크 보안 설정
CISO 및 네트워크 관리자는 현재 운영 중인 Progress LoadMaster 장비의 버전을 즉시 확인하고, 아래의 수정 버전으로 업데이트를 진행하면 됩니다.
| 구분 | 수정 버전 (Fixed Version) | 비고 |
|---|---|---|
| GA (General Availability) | 7.2.63.2 | 최신 일반 릴리스 버전 |
| LTSF (Long Term Support Feature) | 7.2.54.18 | 장기 지원 버전 |
관리자에게 필요한 건 GA 7.2.63.2 또는 LTSF 7.2.54.18 버전으로의 즉각적인 업그레이드입니다.