F5 har publisert sikkerhetsoppdateringer for en kritisk sårbarhet i BIG-IP Access Policy Manager (APM) som allerede utnyttes i angrep. Sårbarheten er identifisert som CVE-2026-94127 og har en CVSS 3.1-score på 9,8.
Unauthenticated remote code execution
Sårbarheten er en heap-basert buffer overflow i BIG-IP APM. Under bestemte konfigurasjoner kan en angriper uten autentisering sende spesiallaget trafikk og oppnå fjernkjøring av kode på systemet.
F5 opplyser at sårbarheten påvirker BIG-IP-systemer der APM er konfigurert med en access policy og en OAuth-profil som fungerer som OAuth Authorization Server. F5 har samtidig bekreftet at sårbarheten er utnyttet i praksis.
Berørte versjoner
F5 oppgir blant annet berørte versjoner i 17.1.x-, 17.5.x- og 21.1.x-seriene, avhengig av konfigurasjon. Administratorer bør derfor kontrollere F5s sikkerhetsbulletin mot nøyaktig BIG-IP-versjon og konfigurasjon før de vurderer systemet som trygt.
Hva bør administratorer gjøre?
- Oppdater BIG-IP til en versjon som inneholder sikkerhetsfiksen.
- Kontroller om APM og OAuth Authorization Server-funksjonalitet er aktivert.
- Undersøk logger og nettverkstrafikk etter tegn på uautorisert aktivitet.
- Begrens eksponering av administrasjons- og applikasjonsgrensesnitt mot internett.
Ikke vent med oppdateringen
Kombinasjonen av kritisk alvorlighetsgrad, mulig uautentisert fjernkjøring av kode og bekreftet aktiv utnyttelse gjør dette til en sårbarhet som bør behandles som en prioritert oppgave for berørte administratorer.
Sjekkliste for berørte BIG-IP-systemer
- Finn eksakt BIG-IP-versjon og kontroller den mot F5s sikkerhetsbulletin.
- Kontroller om APM og OAuth Authorization Server er aktivert.
- Installer en korrigert versjon eller følg F5s midlertidige tiltak dersom oppgradering må vente.
- Gå gjennom logger for uvanlige forespørsler og tegn på kompromittering.
Relatert lesestoff
Kilde: F5s sikkerhetsinformasjon og uavhengige sikkerhetsanalyser.
