Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2026-94127CriticalCVSS: 9.3

Kritische RCE-Lücke in F5 BIG-IP APM (CVE-2026-94127)

In F5 BIG-IP APM ermöglicht eine kritische Schwachstelle (CVSS 9.3) unauthentifizierten Angreifern Remote Code Execution, wenn eine Access Policy mit OAuth-Profil auf einem Virtual Server konfiguriert ist. Auch Systeme im Appliance Mode sind betroffen. F5 stellt Hotfixes bereit, ein Update sollte umgehend erfolgen.

METADATEN

Entdeckt:
22.09.2026
Patch verfügbar:
Ja

BETROFFENE SYSTEME

  • •F5 BIG-IP 17.5.0 <Hotfix-BIGIP-17.5.1.9.0.160.12-ENG
  • •F5 BIG-IP 17.1.0 <Hotfix-BIGIP-17.1.3.5.0.41.14-ENG
  • •F5 BIG-IP 21.1.0 <Hotfix-BIGIP-21.1.0.2.0.30.22-ENG

Zusammenfassung

In F5 BIG-IP wurde mit CVE-2026-94127 eine kritische Schwachstelle mit CVSS-Score 9.3 bekannt. Wenn auf einem Virtual Server eine BIG-IP APM Access Policy in Kombination mit einem OAuth-Profil konfiguriert ist, kann speziell präparierter Datenverkehr zu Remote Code Execution (RCE) führen.

Die Lücke ist ohne Authentifizierung ausnutzbar. Auch BIG-IP-Systeme im Appliance Mode sind verwundbar. Es handelt sich um ein Data-Plane-Problem, eine Control-Plane-Exposition besteht laut Hersteller nicht. F5 stellt Sicherheitshotfixes für die unterstützten Versionen bereit.

Technische Details

  • CVE-ID: CVE-2026-94127
  • CVSS-Score: 9.3 (Critical)
  • Hersteller: F5
  • Komponente: BIG-IP APM (Access Policy Manager) mit OAuth-Profil auf Virtual Server
  • Angriffsvektor: Netzwerk / Data Plane, spezieller manipulierter Traffic an betroffenen Virtual Server
  • Authentifizierung: nicht erforderlich (unauthentifizierter Angreifer)
  • Auswirkung: Remote Code Execution (RCE)
  • Besonderheit: Systeme im Appliance Mode sind ebenfalls verwundbar
  • Abgrenzung: Kein Control-Plane-Zugriff, ausschließlich Data Plane. Versionen mit erreichtem End of Technical Support (EoTS) wurden nicht bewertet.

Voraussetzung für die Ausnutzbarkeit ist die Kombination aus APM Access Policy und OAuth-Profil auf demselben Virtual Server. Systeme ohne diese Konfiguration sind nach aktuellem Kenntnisstand nicht über diesen Vektor angreifbar.

Betroffene Systeme

  • F5 BIG-IP 17.5.0 vor Hotfix-BIGIP-17.5.1.9.0.160.12-ENG
  • F5 BIG-IP 17.1.0 vor Hotfix-BIGIP-17.1.3.5.0.41.14-ENG
  • F5 BIG-IP 21.1.0 vor Hotfix-BIGIP-21.1.0.2.0.30.22-ENG

Nicht bewertet wurden Versionen, die das End of Technical Support (EoTS) erreicht haben. Prüfen Sie in der F5-Produktmatrix, ob Ihre Version noch unterstützt wird.

Empfehlungen und Maßnahmen

  1. Hotfixes umgehend einspielen:
    • 17.5.0-Nutzer auf Hotfix-BIGIP-17.5.1.9.0.160.12-ENG oder neuer
    • 17.1.0-Nutzer auf Hotfix-BIGIP-17.1.3.5.0.41.14-ENG oder neuer
    • 21.1.0-Nutzer auf Hotfix-BIGIP-21.1.0.2.0.30.22-ENG oder neuer
  2. Exposition reduzieren: Zugriff auf betroffene Virtual Server mit APM/OAuth bis zum Patch einschränken, z. B. per IP-Allowlisting, WAF-Regeln und Segmentierung.
  3. Konfiguration prüfen: Inventarisieren Sie alle Virtual Server mit Kombination aus APM Access Policy und OAuth-Profil – diese haben Priorität.
  4. Kompromittierung prüfen: Logs von APM, OAuth und System auf Auffälligkeiten, unerwartete Prozesse, neue Konten oder Persistenzmechanismen untersuchen.
  5. Herstellerhinweise beachten: Anweisungen und weitere Updates im F5-Artikel K000162605 verfolgen und ggf. F5-Support einbinden.
  6. EoTS-Systeme ablösen: Nicht mehr unterstützte Versionen zeitnah migrieren, da kein Fix und keine Bewertung mehr erfolgt.

Quellen

REFERENZEN