F5 vá lỗi zero-day nghiêm trọng trên BIG-IP APM
"F5 disclosed and patched a critical BIG-IP APM zero-day, CVE-2026-94127, that can allow unauthenticated remote code execution when APM is configured as an OAuth authorization server on a virtual server. The issue is a heap-based buffer overflow affecting specific BIG-IP branches, with engineering hotfixes and an iRule mitigation available; CISA added it to the KEV catalog due to active exploitation."
Rủi ro thực thi mã từ xa không cần xác thực trên BIG-IP APM; đã bị khai thác thực tế và nằm trong CISA KEV.
Có thể ảnh hưởng hạ tầng truy cập ứng dụng và dịch vụ xác thực OAuth; cần ưu tiên vá lỗi để giảm nguy cơ gián đoạn và xâm nhập.
F5 đã phát hành bản vá khẩn cấp cho CVE-2026-94127, một lỗ hổng zero-day nghiêm trọng trong BIG-IP Access Policy Manager (APM) có thể dẫn đến thực thi mã từ xa không cần xác thực. Theo thông báo, lỗi chỉ ảnh hưởng khi APM được cấu hình làm OAuth authorization server trên cùng một virtual server; các hệ thống chỉ dùng APM làm OAuth client hoặc resource server không bị ảnh hưởng.
Lỗ hổng được mô tả là heap-based buffer overflow và được chấm CVSS 9.8 theo v3.1, 9.3 theo v4.0. F5 cho biết đã có engineering hotfix cho các nhánh 21.1, 17.5 và 17.1; nếu chưa thể cài ngay, có thể áp dụng iRule mitigation tạm thời cho virtual server bị ảnh hưởng. CISA đã đưa lỗ hổng vào KEV catalog do ghi nhận khai thác đang diễn ra.
Đội vận hành nên xác định cấu hình OAuth trên BIG-IP, ưu tiên áp dụng hotfix, đồng thời kiểm tra dấu hiệu xâm nhập như failed UserInfo requests lặp lại, tăng bất thường total_failed, log audit có lệnh đáng ngờ và TMM SIGABRT. Nếu phát hiện dấu hiệu bất thường, cần kích hoạt quy trình ứng cứu sự cố và lưu giữ bằng chứng pháp y trước khi thay đổi cấu hình.