Progress Kemp LoadMaster API OS 명령 주입 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-8037)

1. 공식 보안 패치 적용

제조사(Progress)의 공식 보안 권고를 참조하여 최신 안전한 버전으로 펌웨어를 즉시 업그레이드하십시오.

2. 임시 완화 조치 (Workaround)

패치 적용이 즉시 어려운 경우, 아래의 조치를 통해 공격 노출면을 최소화하십시오:

• API 관리 포트 제한: LoadMaster 관리 인터페이스(WUI 및 API 포트)가 공인 인터넷(Public Internet)에 노출되지 않도록 방화벽 규칙을 설정하십시오.
• 신뢰할 수 있는 IP만 허용: 관리자 IP 대역에서만 API에 접근할 수 있도록 ACL(Access Control List)을 적용하십시오.

  # WAF 또는 방화벽 장비에서 LoadMaster API 경로(/access/ 등)에 대한 외부 접근 차단 규칙 설정 예시
  Block HTTP/HTTPS requests to /access/* from untrusted IP addresses

• 침입 탐지 시스템(IDS/IPS) 규칙 적용: API 요청 본문 및 쿼리 매개변수에 쉘 메타문자(;, &, |, ` `, $()`)가 포함된 비정상적인 요청을 탐지 및 차단하십시오.

본 취약점(CVE-2026-8037)은 Progress Kemp LoadMaster의 API 엔드포인트에서 발생하는 심각한 OS 명령 주입(Command Injection, CWE-77) 취약점입니다.

공격자는 인증을 거치지 않은 상태(Pre-Authentication)에서 여러 명령 처리 엔드포인트에 입력값 검증이 결여된 매개변수를 전달함으로써, 내부 운영체제 쉘에서 임의의 명령을 실행할 수 있습니다. CVSS 3.1 기준 최고 위험도인 9.8(Critical)을 기록하였으며, 실제 공격에 악용되고 있는 정황이 확인되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었습니다.

특히 로드 밸런서와 같은 네트워크 인프라 장비의 특성상, 이 취약점을 통해 내부망 침투를 위한 교두보(Initial Access)로 악용될 위험이 매우 높습니다.