Vijf weken aanvallen voordat de waarschuwing kwam

Beveiligingsbedrijf watchTowr publiceerde op 29 juni 2026 een technische analyse met proof-of-concept exploit voor CVE-2026-8037, minder dan een maand nadat Progress Software het lek op 4 juni had onthuld. Al een dag later registreerde het threat-response-team van eSentire aanvalspogingen tegen Progress Kemp LoadMaster-apparaten, een niet-geauthenticeerd command-injectielek met een CVSS-score van 9.6.

Tegen de tijd dat de Amerikaanse cyberbeveiligingsdienst CISA het lek op 7 augustus 2026 aan zijn catalogus van actief misbruikte kwetsbaarheden toevoegde, toonde telemetrie van eSentire en KEVIntel al 792 aanvalspogingen in 41 dagen, afkomstig van 65 unieke IP-adressen in 18 landen, waaronder Australië, China, Indonesië, Japan, Polen en de Verenigde Staten. CISA gaf Amerikaanse federale civiele instanties tot 10 augustus 2026, slechts drie dagen, om te patchen onder de Binding Operational Directive 26-04. Het belangrijkste gat was echter niet die termijn van drie dagen, maar de ruim vijfeneenhalve week tussen de eerste echte aanval en het moment waarop een KEV-vermelding het onderwerp bij de meeste beveiligingsteams op de agenda dwong.

Waarom een load balancer een onderbelicht doelwit is

Een load balancer is geen randsysteem. Hij verwerkt of routeert doorgaans het verkeer van elke publiek toegankelijke applicatie die een organisatie draait, wat hem een netwerkzicht en routeringscontrole geeft die weinig andere apparaten hebben. Wie hem compromitteert, krijgt een uitvalsbasis met zicht op alles wat erachter zit, veel verder dan het platleggen van een website.

Ondanks die blootstelling worden load balancers en vergelijkbare netwerkapparaten routinematig trager gepatcht dan de webapplicaties die ze voor hun rekening nemen. Netwerk- en infrastructuurteams behandelen ze vaak als leidingwerk dat, eenmaal geconfigureerd, buiten een gepland onderhoudsvenster niet moet worden aangeraakt. Precies die gewoonte maakt een niet-geauthenticeerd remote-code-execution-lek als CVE-2026-8037 zo gevaarlijk: het apparaat dat het meest aan internet is blootgesteld, is vaak het apparaat dat het minst snel met spoed wordt gepatcht.

Het lek in detail: een saneringsfunctie die niet saneert

CVE-2026-8037 zit in een functie genaamd escape_quotes, die gevaarlijke tekens uit gebruikersinvoer moet verwijderen voordat die invoer een shellcommando bereikt. De functie doet dit niet volledig, en het lek is bereikbaar via het API-eindpunt /accessv2 zodra de LoadMaster-API is ingeschakeld. Een aanvaller heeft geen enkele inloggegevens nodig; een speciaal geprepareerd verzoek volstaat om het apparaat willekeurige commando's te laten uitvoeren.

Getroffen zijn LoadMaster GA-versie 7.2.63.1 en ouder, en LoadMaster LTSF-versie 7.2.54.17 en ouder. Progress Software bevestigde ook hetzelfde onderliggende probleem in MOVEit WAF-builds voor GA 7.2.63.2. Er zijn gepatchte versies beschikbaar: LoadMaster GA 7.2.63.2 en LoadMaster LTSF 7.2.54.18. Er is geen alternatief voor het toepassen van deze patches; de API uitschakelen waar deze niet nodig is, vermindert de blootstelling maar sluit het lek niet voor implementaties die er wel van afhankelijk zijn.

Waarom dit een NIS2-trigger is, geen gewoon patchticket

Voor organisaties die onder de Europese NIS2-richtlijn als essentiële of belangrijke entiteit zijn ingedeeld, is een niet-geauthenticeerde remote-code-executiekwetsbaarheid op een internetgericht infrastructuurapparaat vrijwel een schoolvoorbeeld van waarvoor de meldplicht van de richtlijn is geschreven. Een load balancer aan de rand van het netwerk, bereikbaar zonder inloggegevens en met bevestigd actief misbruik, voldoet aan vrijwel elk criterium dat toezichthouders zoals het Nederlandse NCSC gebruiken om een significant incident te definiëren: impact op vertrouwelijkheid, integriteit of beschikbaarheid met de kans op aanzienlijke operationele of financiële schade.

Dat heeft een praktisch gevolg dat verder gaat dan patchen. Als een LoadMaster-apparaat binnen de reikwijdte van NIS2 tijdens het aanvalsvenster internetgericht was en een kwetsbare versie draaide, loopt de meldingstermijn mogelijk al, ongeacht of een compromittering inmiddels is bevestigd. Wachten op forensische zekerheid voordat de meldplicht wordt beoordeeld, is een veelgemaakte en kostbare fout.

Wat eigenaren deze week moeten doen

Draait een Kemp LoadMaster-apparaat op GA 7.2.63.1 of ouder, of LTSF 7.2.54.17 of ouder, patch dan onmiddellijk en geef voorrang aan internetgerichte instanties. Wacht niet op een gepland onderhoudsvenster; de aanvalstelemetrie laat zien dat aanvallers al breed en lukraak scannen, waardoor ongepatchte apparaten door geautomatiseerde scans worden gevonden.

Naast deze ene fix is het de moeite waard om het gat van vijf weken tussen de eerste exploitatie en de KEV-vermelding te gebruiken als aanleiding om te herzien hoe de organisatie leveranciersadviezen specifiek voor netwerk- en infrastructuurapparaten volgt, een categorie die patchmanagementprogramma's die rond applicatiesoftware zijn opgebouwd vaak over het hoofd zien. Een patchmanagementprogramma dat pas escaleert zodra iets op een overheidslijst van misbruikte kwetsbaarheden verschijnt, loopt per definitie altijd achter op de aanvallers die het lek als eerste vonden.

Lees hierna: 45.601 lekken, 171 worden echt misbruikt  |  Een dood gebouw kost meer dan losgeld