Progress LoadMaster รันคำสั่งโดยไม่ล็อกอิน CVE-2026-8037
ผู้ดูแลระบบที่ใช้ Progress LoadMaster และผลิตภัณฑ์ร่วมที่ได้รับผลกระทบต้องเร่งอัปเดตเฟิร์มแวร์ เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้โจมตีที่ไม่ต้องล็อกอินสามารถแทรกคำสั่งระบบปฏิบัติการผ่าน API และรันคำสั่งบนอุปกรณ์ได้
- Who should read
- ผู้ดูแลระบบที่ใช้ LoadMaster, ECS Connection Manager, Connection Manager for ObjectScale หรือ MOVEit WAF รุ่นที่ได้รับผลกระทบ
- Fix in short
- อัปเดต LoadMaster GA และผลิตภัณฑ์ร่วมเป็น 7.2.63.2 หรือ LoadMaster LTSF เป็น 7.2.54.18 ตามสายรุ่นที่ใช้งาน
พอดีไล่ฟีด CISA KEV เจอประกาศวันที่ 7 สิงหาคม 2026 เรื่อง CVE-2026-8037 ใน Progress LoadMaster จุดที่ต้องรีบดูคือผู้โจมตีไม่ต้องมีบัญชีหรือผ่านการล็อกอิน ก็สามารถสั่งรันคำสั่งบนอุปกรณ์ได้ CISA เพิ่มรายการนี้เพราะมีหลักฐานการโจมตีจริงแล้ว ผู้ดูแลที่ใช้ผลิตภัณฑ์นี้ควรตรวจรุ่นและจัดคิวอัปเดตเป็นงานเร่งด่วน ตามประกาศ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: หากใช้ LoadMaster หรือผลิตภัณฑ์ร่วมในตาราง ให้ตรวจรุ่นและเร่งติดตั้งเฟิร์มแวร์ที่แก้ช่องโหว่ เพราะมีการโจมตีจริงแล้ว
เกิดอะไรขึ้น
ปัญหาเป็น OS Command Injection ใน API ของ LoadMaster หลาย endpoint นำข้อมูลเข้าไปใช้กับคำสั่งระบบโดยไม่ได้กรองให้ปลอดภัย ผู้โจมตีเลยอาจแทรกคำสั่งของตัวเองให้เครื่องรันได้ ไม่ต้องล็อกอินหรือรอให้ผู้ใช้กดอะไร ตามข้อมูลที่ Progress บันทึกใน CVE record
Progress ให้คะแนน CVSS 3.1 เท่ากับ 9.6 ระดับ Critical โดยมีผลกระทบสูงต่อความลับ ความถูกต้อง และความพร้อมใช้งานของข้อมูล ค่า Attack Vector ใน CVSS เป็น Adjacent Network ให้ตรวจด้วยว่าใครเข้าถึง API ของอุปกรณ์ได้ เพราะรหัสผ่านหน้าเว็บไม่ป้องกันช่องโหว่ที่ไม่ต้องล็อกอินนี้
ประกาศ Progress รวม CVE-2026-33691 ซึ่งเป็นปัญหาหลบกฎ WAF แยกจาก CVE-2026-8037 ส่วนสถานะการโจมตีก็ต่างกันตามวันที่: bulletin ผู้ผลิตฉบับ 31 กรกฎาคม 2026 ระบุว่ายังไม่ได้รับรายงาน แต่ CISA ยืนยันหลักฐานการโจมตีจริงเมื่อ 7 สิงหาคม 2026
ใครโดนและรุ่นที่แก้
ตารางในประกาศ Progress แยกเฟิร์มแวร์ตามผลิตภัณฑ์และสายรุ่นไว้ดังนี้
| ผลิตภัณฑ์ / สายรุ่น | รุ่นที่ได้รับผลกระทบตามประกาศผู้ผลิต | รุ่นที่แก้ |
|---|---|---|
| LoadMaster GA | 7.2.63.1 และก่อนหน้า | 7.2.63.2 |
| LoadMaster LTSF | 7.2.54.17 และก่อนหน้า | 7.2.54.18 |
| ECS Connection Manager | 7.2.63.1 และก่อนหน้า | 7.2.63.2 |
| Connection Manager for ObjectScale | 7.2.63.1 และก่อนหน้า | 7.2.63.2 |
ช่วงรุ่นในสองแหล่งไม่ตรงกัน ตารางข้างต้นมาจาก bulletin ซึ่งเขียนว่า “และก่อนหน้า” แต่ CVE record ของ Progress ระบุ LoadMaster GA, ECS Connection Manager และ ObjectScale ตั้งแต่ 7.2.60.0 ถึงก่อน 7.2.63.2 ส่วน LoadMaster LTSF เริ่มที่ 7.2.54.12 ถึงก่อน 7.2.54.18 อย่าสรุปว่ารุ่นเก่ากว่าช่วงใน CVE ปลอดภัย เพราะ bulletin ระบุช่วงกว้างกว่า
สำหรับ MOVEit WAF นั้น CVE record ระบุช่วง 7.2.60.0 ถึงก่อน 7.2.63.2 แต่ bulletin ไม่มีแถวผลิตภัณฑ์นี้ ให้ยืนยันแพ็กเกจอัปเกรดกับฝ่ายสนับสนุนก่อนติดตั้ง
ต้องทำอะไร
เริ่มจากดูเลขรุ่นที่มุมขวาบนของ web UI หรือคอนโซลหลังอุปกรณ์บูต แล้วเลือกเฟิร์มแวร์ให้ตรงผลิตภัณฑ์และสาย GA หรือ LTSF ผู้ผลิตแนะนำให้อัปเกรดเป็นรุ่นที่แก้ในตาราง ดาวน์โหลดผ่าน Download Hub ตามสิทธิ์บำรุงรักษา หากอุปกรณ์หมดการสนับสนุน ให้ติดต่อผู้ผลิตเรื่องเปลี่ยนเป็นรุ่นที่รองรับ
ในทางปฏิบัติ ควรสำรองการตั้งค่าก่อนอัปเดต ตรวจเลขรุ่นหลังทำเสร็จ และทดสอบบริการที่ผ่านอุปกรณ์ รวมถึงตรวจร่องรอยการบุกรุกหากเคยเปิดเส้นทางให้เข้าถึง API ได้ การติดตั้งแพตช์ช่วยปิดช่องโหว่ แต่ไม่ได้ยืนยันว่าเครื่องไม่เคยถูกเข้าถึงมาก่อน
CISA กำหนดวันครบกำหนดแก้เป็น 10 สิงหาคม 2026 ในข้อมูล KEV ทางการ กรอบข้อบังคับใช้กับหน่วยงานรัฐบาลกลางสหรัฐฯ กลุ่ม FCEB ส่วนองค์กรอื่นควรใช้เป็นสัญญาณจัดลำดับความเร่งด่วน ผู้ผลิตไม่ได้ระบุ workaround ในประกาศที่อ้างอิง เลยควรวางแผนอัปเกรดเป็นวิธีหลัก
ส่วนตัวผมมองว่าเคสนี้ควรเร่งแพตช์ เพราะรันคำสั่งได้โดยไม่ล็อกอินและมีการโจมตีจริงแล้ว
ที่มา: CVE-2026-8037 — Progress LoadMaster Command Injection Vulnerability และ LoadMaster Critical Security Bulletin – June 2026 หากมีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first