I bilanciatori di carico sono tra gli apparati più esposti e meno controllati di una rete aziendale: stanno al confine tra internet e l'infrastruttura interna, ricevono traffico da chiunque e vengono aggiornati con minore frequenza rispetto ai server applicativi che proteggono. È proprio in un dispositivo di questo tipo che è stata scoperta CVE-2026-8037, una vulnerabilità critica (CVSS 9.8) nel prodotto Progress Kemp LoadMaster che consente a un attaccante remoto, senza alcuna credenziale, di eseguire comandi arbitrari sul sistema operativo con privilegi root.

Il difetto risiede nella funzione escape_quotes(), pensata per sanificare l'input dell'utente prima di passarlo a un comando di shell. Nella versione vulnerabile, la funzione alloca un buffer di memoria con malloc() senza inizializzarlo e senza garantire la presenza di un terminatore di stringa nullo al termine dell'output sanificato: un errore di gestione della memoria heap che un attaccante può sfruttare per neutralizzare la sanificazione stessa e iniettare comandi di sistema attraverso l'API del dispositivo, quando questa funzionalità è abilitata. I ricercatori di watchTowr Labs, che il 29 giugno hanno pubblicato un'analisi tecnica dettagliata dell'intera catena di sfruttamento, descrivono con efficacia il problema di fondo: un apparato pensato per proteggere il perimetro della rete diventa, se vulnerabile, il varco più diretto per entrarci. Sono colpite le versioni GA fino alla 7.2.63.1 e LTSF fino alla 7.2.54.17; Progress ha pubblicato l'avviso il 4 giugno e le versioni corrette sono la 7.2.63.2 (GA) e la 7.2.54.18 (LTSF).

Cosa significa per le aziende italiane

Kemp LoadMaster è diffuso soprattutto in ambienti che devono garantire alta disponibilità di applicazioni critiche: portali istituzionali, sistemi bancari e assicurativi, infrastrutture sanitarie, servizi della pubblica amministrazione. Proprio la sua funzione — distribuire il traffico verso i server applicativi — lo colloca in una posizione privilegiata per un attaccante: da lì può osservare e manipolare il traffico diretto verso i sistemi interni, aprendo la strada a un movimento laterale verso database, applicazioni gestionali e altri asset critici. Il rischio è aggravato dal fatto che molte organizzazioni trattano i bilanciatori di carico come infrastruttura invisibile, con cicli di patching più lenti rispetto a server web o endpoint, proprio perché toccarli richiede finestre di manutenzione pianificate per non impattare la continuità del servizio. È un ragionamento comprensibile sul piano operativo, ma che in casi come questo si traduce in settimane di esposizione a una falla critica e nota pubblicamente.

Il contesto normativo

Per gli enti pubblici e i soggetti che rientrano nel perimetro NIS2, un bilanciatore di carico che serve servizi essenziali (sanità, energia, trasporti, servizi finanziari, pubblica amministrazione) rientra a pieno titolo tra gli asset da sottoporre a gestione del rischio e patch management documentato. Nel settore finanziario, dove DORA impone requisiti stringenti di resilienza operativa digitale, un'appliance di questo tipo compromessa rappresenterebbe un incidente TIC rilevante da valutare ai fini della segnalazione alle autorità di vigilanza. In ogni caso, se lo sfruttamento porta a un incidente con impatto significativo, resta valido l'obbligo generale di notifica ad ACN entro le tempistiche previste dal decreto NIS2 per i soggetti inclusi nel perimetro.

Cosa fare subito

  • Verificare la versione firmware installata su ogni appliance Kemp LoadMaster e aggiornare a 7.2.63.2 (GA) o 7.2.54.18 (LTSF).
  • Se non è possibile aggiornare immediatamente, disabilitare la funzionalità API del dispositivo, dato che la falla richiede che questa sia attiva per essere sfruttabile.
  • Limitare l'accesso all'interfaccia di gestione e all'API di LoadMaster alle sole reti fidate, evitando l'esposizione diretta su internet.
  • Rivedere i log di accesso all'API alla ricerca di richieste anomale nel periodo precedente all'aggiornamento, per escludere una compromissione già avvenuta.
  • Includere i bilanciatori di carico e gli apparati di rete perimetrali nel programma di patch management con la stessa priorità riservata ai server applicativi, non come categoria a parte.