Dal 29 giugno 2026 gli attaccanti hanno iniziato a prendere di mira una falla critica di Kemp LoadMaster, un apparato di rete molto diffuso, identificata come CVE-2026-8037. La combinazione e’ di quelle che fanno alzare l’allerta: la vulnerabilita’ e’ pre-autenticazione — cioe’ sfruttabile senza bisogno di alcuna password — e un exploit tecnico e’ gia’ pubblico, pubblicato dai ricercatori di watchTowr proprio mentre partivano i primi tentativi di attacco. Al momento della copertura i tentativi osservati non risultavano riusciti, ma con l’exploit in circolazione la finestra di rischio si allarga di giorno in giorno.
Cos’e’ un LoadMaster e perche’ potresti averne uno
Kemp LoadMaster (oggi del gruppo Progress) e’ un bilanciatore di carico: un’appliance che si mette davanti ai server aziendali e distribuisce il traffico tra piu’ macchine, per reggere i picchi e tenere online un servizio anche se un server si ferma. Non e’ roba solo da grandi aziende: molte PMI, studi professionali e realta’ con un gestionale, un portale o un’applicazione web esposta su internet ne hanno uno — spesso installato a suo tempo dal fornitore IT e poi dimenticato. E’ esattamente il tipo di dispositivo “di frontiera” che gli attaccanti amano, perche’ e’ raggiungibile da fuori.
Dove si trova un load balancer: e' il dispositivo di 'frontiera' tra internet e i tuoi server. Se e' bucabile, l'attaccante entra prima ancora di arrivare ai server.
Perche’ “pre-auth” cambia tutto
Il difetto tecnico e’ una command injection nell’API di gestione del dispositivo: inviando una richiesta costruita ad arte, un attaccante puo’ far eseguire comandi propri sull’apparato con i massimi privilegi. Il punteggio di gravita’ indicato e’ 9.6 su 10, e il dettaglio decisivo e’ proprio il “pre-auth”: non serve un account, non serve una credenziale rubata. Chiunque riesca a raggiungere l’API di gestione esposta puo’ tentare l’attacco.
E’ una differenza enorme rispetto alle falle che richiedono prima di entrare con un login: qui la barriera d’ingresso e’, di fatto, solo la raggiungibilita’ dell’API dalla rete.
Le versioni colpite e la correzione
Secondo le fonti, sono interessate le versioni GA v7.2.63.1 e precedenti e LTSF v7.2.54.17 e precedenti, quando l’API e’ attiva. Le versioni che chiudono la falla sono la GA v7.2.63.2 e la LTSF v7.2.54.18. La strada maestra e’ quindi aggiornare a una di queste build; i numeri esatti vanno comunque confermati sul bollettino ufficiale Progress/Kemp prima di procedere.
Cosa fare concretamente (anche se l’IT non lo gestisci tu)
Se in azienda non sei tu a occuparti dei server e degli apparati di rete, non ti serve capire la parte tecnica: ti serve fare la domanda giusta a chi la gestisce. La sequenza:
- Chiedi se in azienda c’e’ un Kemp LoadMaster (o “un load balancer Progress/Kemp”). Se non ne avete, questo fronte non ti riguarda.
- Se c’e’, chiedi due cose: e’ gia’ stato aggiornato alla versione corretta (GA v7.2.63.2 o LTSF v7.2.54.18)? E l’API di gestione e’ raggiungibile da internet o solo dalla rete interna?
- Se non si puo’ aggiornare oggi stesso, chiedi di limitare l’accesso all’API di gestione (restringerlo a indirizzi fidati o disabilitarlo) come misura ponte, dato che la falla vive proprio li’.
Il livello di accesso che serve all'attaccante per tentare lo sfruttamento: nessuno.
Cosa fare lunedi’
Se hai un’applicazione o un portale esposti su internet, chiedi a chi ti gestisce l’infrastruttura — IT interno o MSP — se davanti ai tuoi server c’e’ un Kemp LoadMaster e, in caso affermativo, se e’ gia’ aggiornato per la CVE-2026-8037. Se la risposta non e’ un “si’” immediato, la mossa e’ doppia: aggiornare all’ultima build e, nel frattempo, restringere l’accesso all’API di gestione. Vale la regola di sempre: gli apparati di rete esposti sono la prima cosa che gli attaccanti provano, e un exploit pubblico trasforma una falla nota in un problema di giorni, non di mesi.