アメリカ合衆国サイバーセキュリティおよびインフラストラクチャー・セキュリティ庁（CISA）は、2026年8月7日に、Progress Kemp LoadMasterの重大なコマンドインジェクション脆弱性CVE-2026-8037をKnown Exploited Vulnerabilities（KEV）カタログに追加した。この脆弱性は、CVSSスコア9.6を持ち、認証が不要な攻撃者がLoadMasterデバイスで任意のコードを実行することを可能にする。CISAによると、この脆弱性は、ロードバランサーアプリケーションのescape_quotes()関数で入力データが適切にクリーンアップされていないことによって発生する。

watchTowr Labsの2026年6月の分析によると、escape_quotes()関数でユーザーが提供した入力データが不正に処理され、コマンドインジェクションにつながる。KEVIntelが収集したテレメトリデータによると、過去41日間に18カ国から65の異なるIPアドレスから合計792回の試行が検出された。最後の活動は2026年8月4日に5回の試行として記録された。これらの試行には、192.42.116.58、192.42.116.105、146.70.139.154などのアドレスが含まれる。

CISAは、継続的な活用化のため、連邦民間行政府機関（FCEB）にLoadMasterの必要なパッチを2026年8月10日までに適用することを勧告している。これは、Binding Operational Directive（BOD）26-04の下で行われている。