Kerngegevens
- Leverancier
- Progress
- Soort software
- bestandsoverdracht
- Getroffen versies
- LoadMaster vanaf V7.2.60.0 tot V7.2.63.2, vanaf V7.2.54.12 tot V7.2.54.18
- ECS Connections Manager vanaf V7.2.60.0 tot V7.2.63.2
- Object Scale Connection Manager vanaf V7.2.60.0 tot V7.2.63.2
- MOVEit WAF vanaf V7.2.60.0 tot V7.2.63.2
- Oplossing
- Update beschikbaar
- Opgeloste versie
- LoadMaster V7.2.63.2
- LoadMaster V7.2.54.18
- ECS Connections Manager V7.2.63.2
- Object Scale Connection Manager V7.2.63.2
- MOVEit WAF V7.2.63.2
- CVE gepubliceerd
- 4 juni 2026
- Op de KEV-lijst sinds
- 7 augustus 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de API van Progress LoadMaster zit een fout waarbij invoer niet goed wordt gecontroleerd. Daardoor kan een aanvaller zonder in te loggen eigen commando's laten uitvoeren op het apparaat. Het lek heeft ernst kritiek (9,6) en staat sinds augustus 2026 op de lijst van actief misbruikte lekken. Ook enkele verwante Progress-producten zijn getroffen.
Wie loopt risico?
Risico lopen beheerders van LoadMaster, ECS Connections Manager, Object Scale Connection Manager en MOVEit WAF met een versie in het getroffen bereik. De aanvaller hoeft niet in te loggen, maar moet volgens de beoordeling wel in een aangrenzend netwerk zitten. Er is een publiek exploit beschikbaar. Apparaten met een breed bereikbare beheer- of API-interface lopen daarom het meeste risico.
Wat moet je doen?
Controleer wat je gebruikt
Ga na of je LoadMaster, ECS Connections Manager, Object Scale Connection Manager of MOVEit WAF gebruikt en welke versie erop draait.
Werk LoadMaster bij
Draai je LoadMaster in de reeks vanaf V7.2.60.0, werk dan bij naar V7.2.63.2. Draai je de reeks vanaf V7.2.54.12, werk dan bij naar V7.2.54.18.
Werk de andere producten bij
Voor ECS Connections Manager, Object Scale Connection Manager en MOVEit WAF is V7.2.63.2 de opgeloste versie.
Beperk de bereikbaarheid
Zorg dat de API en het beheer van het apparaat alleen bereikbaar zijn vanaf vertrouwde netwerken, zolang je nog niet bijgewerkt hebt.
Zoek naar sporen van misbruik
Omdat het lek actief wordt misbruikt, is het verstandig om logboeken en het gedrag van het apparaat te controleren op ongebruikelijke activiteit.
Volg het leveranciersadvies
Lees het beveiligingsbericht van Progress voor de actuele instructies en eventuele aanvullende maatregelen.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een OS-commando-injectie (CWE-77) in de API van Progress LoadMaster. Meerdere command-endpoints verwerken invoer zonder die voldoende te zuiveren, waardoor een niet-geauthenticeerde aanvaller willekeurige commando's op het apparaat kan uitvoeren. De CVSS-vector (3.1) geeft aanvalsroute aangrenzend (AV:A), lage complexiteit, geen rechten en geen gebruikersinteractie. De scope is gewijzigd (S:C), met hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid. Er is een publiek exploit beschikbaar en het lek staat sinds 7 augustus 2026 op de KEV-lijst van CISA.
CVSS-vector (versie 3.1, basisscore 9,6, bron: CNA)
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-77 · Onjuiste neutralisatie van speciale elementen in een commando (commando-injectie)
- Aanvalsroute
- Vanaf hetzelfde netwerk
- EPSS, kans op misbruik binnen 30 dagen
- 99,8%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 7 augustus 2026
- Deadline van CISA
- 10 augustus 2026
- Gebruikt door ransomwaregroepen
- Niet bekend