Progress LoadMaster : exécution de commandes sans authentification, correctifs disponibles
Une faille critique de Progress LoadMaster permet à un inconnu d’exécuter des commandes sur l’appareil sans s’authentifier. La CISA la déclare exploitée : les administrateurs doivent corriger sans attendre.
Pour les pros
Pour les professionnels
Exploitée, catalogue KEV
Correctif disponible, 7.2.63.2, 7.2.54.18
CVE-2026-8037
- Nature
- injection de commandes système sans authentification, permettant d’exécuter du code à distance sur l’appliance
- CVSS v3.1, gravité
- CVSS9,8
- Corrigé dans
- 7.2.63.2
- 7.2.54.18
- Versions touchées
- connection_manager_for_objectscale : < 7.2.63.2
- ecs_connection_manager : < 7.2.63.2
- moveit_web_application_firewall : < 7.2.63.2
- loadmaster : < 7.2.54.18
- loadmaster : >= 7.2.55.0, < 7.2.63.2
- Vecteur CVSS v3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- EPSS (24/10)
- EPSS77,4 % (99e centile)
- Catalogue KEV
- KEVExploitéeoui, ajoutée le 07/08
- Fiches et avis
- NVD pour CVE-2026-8037, cve.org pour CVE-2026-8037
Ce qu'on sait de l'exploitation
CVE-2026-8037 est inscrite au catalogue des vulnérabilités exploitées (KEV) de la CISA depuis le 7 août 2026. L’agence a fixé au 10 août 2026 l’échéance pour appliquer les mesures de l’éditeur. La CISA demande aussi de respecter ses exigences de tri forensique des équipements. L’usage par des rançongiciels est indiqué comme inconnu dans le catalogue.
À faire, dans l'ordre
Repérer les LoadMaster de votre parc, ainsi que les produits touchés dérivés : Connection Manager for ObjectScale, ECS Connection Manager et MOVEit WAF.
Installer la version corrigée : 7.2.54.18 pour les versions antérieures à 7.2.55.0, 7.2.63.2 pour celles comprises entre 7.2.55.0 et 7.2.63.2.
Appliquer les mesures de l’éditeur, puis suivre l’exigence de tri forensique demandée par la CISA pour vérifier qu’aucune compromission n’a eu lieu.
Si aucune mesure n’est disponible pour votre version, la CISA demande de cesser d’utiliser le produit.
En clair
Pour tout le monde
LoadMaster est un équipement qui répartit le trafic d’une organisation entre ses serveurs. Une faille permet à quelqu’un d’y envoyer des ordres de son choix depuis Internet, sans identifiant, donc de prendre la main sur l’appareil. La CISA, l’agence américaine de cybersécurité, constate que cette faille est déjà exploitée. Si votre organisation en utilise un, demandez à votre informaticien d’installer la version corrigée dès aujourd’hui.
Réseau de sources
Qui a relevé l’alerte, et quelles autorités la documentent.
- Fiches CVE
- Exploitation confirmée
- Scores EPSS
Sources (4)
- Fiches CVEAutoritéCVE-2026-8037 sur CVE.org (site externe, nouvel onglet)cve.org
- Fiches CVEAutoritéCVE-2026-8037 dans la NVD (site externe, nouvel onglet)nvd.nist.gov
- Exploitation confirméeAutoritéCISA, catalogue des vulnérabilités exploitées (KEV) (site externe, nouvel onglet)cisa.gov
- Scores EPSSAutoritéFIRST, Exploit Prediction Scoring System (site externe, nouvel onglet)first.org