30秒で判断
- 対応すべき人: Progress Kemp LoadMaster（ADC製品）を運用しているすべての方。CISA KEV掲載・PoC公開済みのため最優先
- 対応不要な人: 該当製品を利用していない方、ベンダー修正版を適用済みの方
- 確認事項: 管理UIでファームウェアバージョンを確認し、管理APIがインターネットに露出していないか点検
概要
Progress Kemp LoadMasterは、負荷分散を担うADC（Application Delivery Controller）製品で、しばしばネットワーク境界に配置されます。本脆弱性（CWE-77: コマンドインジェクション）は、LoadMasterのAPIにおける複数のコマンドエンドポイントで入力のサニタイズが不十分なことに起因し、未認証の攻撃者が任意のOSコマンドを実行できるというものです。
本脆弱性はCISAの「悪用が確認された脆弱性（KEV: Known Exploited Vulnerabilities）カタログ」に掲載されており、セキュリティリサーチャーによるPoCや解析記事も公開されています。境界機器上での任意コード実行は、内部ネットワークへの侵入起点となり得るため影響が特に大きく、最優先での対応を推奨します。パッチ適用に加え、攻撃を受けていないかログの確認も検討してください。
CVSSと攻撃の前提
| 項目 | 内容 |
|---|---|
| CVSSスコア | 9.6（Critical） |
| CWE | CWE-77（コマンドインジェクション） |
| 悪用状況 | CISA KEV掲載・PoC公開済み |
| 認証 | 不要（未認証） |
影響を受けるソフトウェア
| 製品 | 備考 |
|---|---|
| Progress Kemp LoadMaster | ベンダー速報（2026年6月）記載の対象バージョン |
修正バージョンと回避策
- ベンダーのセキュリティ速報に従い、速やかに修正ファームウェアを適用してください。
- 管理APIへのアクセスを信頼できるネットワークに限定し、インターネットからの到達を遮断してください。
- 悪用の痕跡がないか、アクセスログや設定変更履歴の確認も推奨します。
関連リンク
データソース: NVD (NIST), CISA KEV AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。