F5 устранила критическую уязвимость BIG-IP APM, которую уже используют в атаках
Ошибка CVE-2026-94127 позволяет удалённо выполнить код без аутентификации на системах, где APM работает OAuth-сервером авторизации. CISA уже внесло уязвимость в каталог известных эксплуатируемых уязвимостей.
F5 выпустила экстренные исправления для критической уязвимости в модуле Access Policy Manager (APM) платформы BIG-IP. По данным компании, CVE-2026-94127 уже эксплуатируют: специально сформированный трафик позволяет выполнить код на BIG-IP без входа в систему.
Проблема затрагивает не все конфигурации APM. Уязвимы системы, в которых модуль выполняет роль OAuth-сервера авторизации и выдаёт токены доступа приложениям. Для атаки на одном виртуальном сервере должны быть настроены политика доступа APM и профиль OAuth-сервера авторизации. Использование APM только в роли OAuth-клиента или сервера ресурсов угрозе не подвержено.
Уязвимость представляет собой переполнение буфера в куче. F5 оценивает её в 9,8 балла из 10 по CVSS v3.1 и в 9,3 балла по CVSS v4.0. Ограничение доступа к интерфейсу управления BIG-IP не защищает от атаки: вредоносный трафик направляется на виртуальный сервер, принимающий OAuth-запросы. Уязвимыми также остаются устройства в режиме Appliance.
Исправления доступны для веток 17.1, 17.5 и 21.1. Для версии 17.1 они нужны системам от 17.1.0 до 17.1.3, для 17.5 — от 17.5.0 до 17.5.1, а для 21.1 — для 21.1.0. F5 не оценивала версии, снятые с технической поддержки, поэтому их состояние остаётся неизвестным.
Если установить hotfix немедленно нельзя, F5 предлагает временную защиту в виде iRule для затронутого виртуального сервера; получить её можно через обращение в поддержку. CERT-EU рекомендует сначала сохранить криминалистические данные, затем установить исправление и проверить систему на признаки компрометации. CISA, со своей стороны, предписало федеральным гражданским ведомствам США применить меры защиты до 25 сентября.
Среди возможных признаков атаки F5 называет повторяющиеся неуспешные запросы OAuth UserInfo с сообщением «The access token is invalid» в журнале APM, особенно десять и более запросов с одного IP-адреса за короткий срок. Также следует проверить необъяснимый рост счётчика total_failed, подозрительные команды в журнале аудита и дампы TMM, хотя последние сами по себе не подтверждают взлом. Ни F5, ни CISA не раскрыли число атакованных систем, предполагаемых злоумышленников или цели атак.