Kritik Progress LoadMaster Açığı Aktif Olarak İstismar Ediliyor

Progress Kemp LoadMaster ürünlerinde bulunan kritik güvenlik açığı, saldırganlar tarafından aktif olarak istismar edilmeye başlandı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), kuruluşları güvenlik güncellemelerini en kısa sürede uygulamaları konusunda uyardı.

Kritik önem derecesine sahip CVE-2026-8037 kodlu güvenlik açığının, internete açık Progress Kemp LoadMaster cihazlarına yönelik saldırılarda aktif olarak kullanıldığı bildirildi.

Kemp LoadMaster, uygulama teslim kontrolcüsü (ADC) ve yük dengeleme çözümü olarak dünya genelinde çok sayıda kurum tarafından kullanılıyor. Ürün; gelen web trafiğinin birden fazla sunucuya dağıtılması, uygulama performansının optimize edilmesi ve yüksek erişilebilirliğin sağlanması amacıyla kullanılıyor.

Progress Software tarafından yapılan açıklamalara göre şirketin ürün ve hizmetleri Fortune 500 şirketlerinin yaklaşık yüzde 80’i tarafından kullanılıyor. Kemp LoadMaster ürününün ise dünya genelinde 100 binden fazla kurulumu bulunuyor.

Kimlik doğrulama gerektirmeden uzaktan komut çalıştırılabiliyor

CVE-2026-8037, LoadMaster cihazlarında bulunan kritik bir komut enjeksiyonu açığı olarak tanımlanıyor.

Açığın, API içerisindeki çeşitli komut uç noktalarında kullanıcı girdilerinin yeterince güvenli şekilde işlenmemesinden kaynaklandığı belirtiliyor. Bu durum, kimlik doğrulaması gerçekleştirmeden uzaktaki bir saldırganın, güvenlik güncellemesi uygulanmamış LoadMaster cihazlarında keyfi komutlar çalıştırabilmesine olanak tanıyabiliyor.

Bu nedenle açık, yalnızca cihazın yönetim arayüzüne erişim sağlayan saldırganlar açısından değil, internete açık ve gerekli güvenlik kontrolleri uygulanmamış LoadMaster sistemleri açısından da ciddi bir risk oluşturuyor.

Progress Software Haziran ayında güncelleme yayımladı

Progress Software, söz konusu güvenlik açığını gidermek amacıyla Haziran 2026’da güvenlik güncellemeleri yayımladı.

Açığın etkilenen Kemp LoadMaster sürümleri arasında:

• GA v7.2.63.1 ve daha eski sürümler
• LTSF v7.2.54.17 ve daha eski sürümler

bulunuyor.

Ayrıca güvenlik açığının, GA v7.2.63.2 öncesindeki MOVEit WAF sürümlerini de etkilediği bildirildi.

Kuruluşların kullandıkları LoadMaster ve MOVEit WAF sürümlerini kontrol ederek üretici tarafından yayımlanan güvenlik güncellemelerini uygulamaları gerekiyor.

İnternete açık yüzlerce LoadMaster cihazı bulunuyor

İnternet üzerindeki tehditleri takip eden Shadowserver Foundation, dünya genelinde internete açık yaklaşık 300 Kemp LoadMaster örneği tespit etti.

Ancak bu sistemlerin ne kadarının güvenlik araştırmaları amacıyla kullanılan honeypot sistemleri olduğu veya CVE-2026-8037 açığına karşı zaten güvenli hale getirildiği konusunda kesin bir bilgi bulunmuyor.

İnternete doğrudan açık LoadMaster cihazlarının bulunması, açığın aktif olarak istismar edildiği bir dönemde riski daha da artırıyor.

CISA açığı aktif olarak istismar edilenler listesine ekledi

CISA, 7 Ağustos 2026 tarihinde CVE-2026-8037’yi Known Exploited Vulnerabilities (KEV) kataloğuna ekledi.

ABD federal sivil kurumları için yayımlanan Binding Operational Directive 26-04 (BOD 26-04) kapsamında ilgili kurumların sistemlerini belirlenen süre içerisinde güvenli hale getirmesi gerekiyor.

CISA, söz konusu açığın siber saldırganlar tarafından sıklıkla kullanılan saldırı yöntemlerinden biri olduğunu ve federal kurumlar açısından önemli risk oluşturduğunu belirtti.

Her ne kadar BOD 26-04 doğrudan ABD federal kurumlarını kapsasa da CISA, tüm kurum ve güvenlik ekiplerine CVE-2026-8037 için yama işlemlerini önceliklendirmeleri çağrısında bulundu.

ShareFile müşterileri de daha önce uyarılmıştı

Progress Software’un güvenlik sorunları son dönemde yalnızca LoadMaster ile sınırlı kalmadı.

Şirket, geçtiğimiz ay Storage Zone Controller kullanan ShareFile müşterilerine gönderdiği bildirimde, şirket içi güvenli dosya paylaşım sistemlerini hedef alan “inandırıcı bir dış güvenlik tehdidi” tespit edildiğini belirterek sunucuların acilen kapatılmasını istemişti.

Birkaç gün sonra Progress, ShareFile ürününde bulunan yüksek önem dereceli bir path traversal zero-day açığı için güvenlik güncellemeleri yayımladı.

Şirket, daha sonraki açıklamasında herhangi bir ShareFile müşteri hesabına veya verisine yetkisiz erişim gerçekleştirildiğine dair bir bulgu bulunmadığını ve aktif bir tehdit tespit edilmediğini bildirdi.

Kuruluşlar ne yapmalı?

CVE-2026-8037’nin artık aktif olarak istismar edildiğinin CISA tarafından doğrulanması nedeniyle Kemp LoadMaster kullanan kurumların aşağıdaki adımları önceliklendirmesi gerekiyor:

1. LoadMaster sürümünü kontrol edin.
2. Etkilenen sürümler kullanılıyorsa üreticinin yayımladığı güvenlik güncellemesini uygulayın.
3. İnternete açık LoadMaster yönetim arayüzlerini ve API erişimlerini kontrol edin.
4. LoadMaster üzerinde son döneme ait şüpheli API çağrılarını ve komut çalıştırma aktivitelerini inceleyin.
5. Ağ ve güvenlik cihazlarında LoadMaster sistemlerine yönelik olağandışı bağlantıları ve trafik hareketlerini kontrol edin.
6. Güncelleme öncesi ve sonrası cihaz konfigürasyonlarını ve güvenlik loglarını inceleyin.
7. Özellikle internet üzerinden erişilebilen LoadMaster sistemlerini öncelikli olarak değerlendirin.

Sonuç olarak, CVE-2026-8037 artık yalnızca teorik bir güvenlik açığı değil, gerçek saldırılarda kullanılan aktif bir tehdit durumunda. Bu nedenle Kemp LoadMaster kullanan kurumların sürüm kontrollerini gerçekleştirmesi ve etkilenen sistemleri mümkün olan en kısa sürede güncellemesi kritik önem taşıyor.