F5 corrige falha zero-day crítica no BIG-IP APM explorada para execução remota de código
A F5 liberou correções emergenciais para uma vulnerabilidade crítica no BIG-IP Access Policy Manager (APM), identificada como CVE-2026-94127. A falha já está sendo explorada em ataques reais e pode permitir que um invasor execute código remotamente sem autenticação.
O problema recebeu pontuação 9,8 no sistema CVSS, classificação considerada crítica. De acordo com a fabricante, trata-se de um estouro de buffer baseado em heap. A exploração ocorre quando um atacante envia requisições especialmente preparadas ao virtual server vulnerável, podendo executar comandos diretamente no sistema BIG-IP.
A falha não afeta todas as instalações do APM. Ela depende de uma configuração específica: o mesmo virtual server precisa estar associado a uma política de acesso do APM e a um perfil de servidor de autorização OAuth. Ambientes que utilizam o BIG-IP apenas como cliente OAuth ou como resource server, sem um perfil de OAuth Authorization Server, não estão incluídos no cenário descrito pela F5.
Restrição da interface de gerenciamento não impede o ataque
A F5 alerta que bloquear ou limitar o acesso à interface administrativa do BIG-IP não é suficiente para eliminar o risco. O ataque é realizado por meio do próprio virtual server responsável pelo recebimento do tráfego OAuth, e não necessariamente pela área de gerenciamento.
Equipamentos configurados em Appliance mode também permanecem sujeitos à vulnerabilidade quando apresentam a combinação de recursos exigida para a exploração. Por isso, a avaliação deve considerar os serviços publicados e seus perfis associados, e não apenas as regras de acesso à administração.
Versões afetadas e hotfixes disponíveis
A vulnerabilidade atinge configurações específicas das versões BIG-IP 21.1, 17.5 e 17.1. A F5 disponibilizou os seguintes pacotes de correção:
– BIG-IP 21.1.0: Hotfix-BIGIP-21.1.0.2.0.30.22-ENG;
– BIG-IP 17.5.0 a 17.5.1: Hotfix-BIGIP-17.5.1.9.0.160.12-ENG;
– BIG-IP 17.1.0 a 17.1.3: Hotfix-BIGIP-17.1.3.5.0.41.14-ENG.
As versões que já estão fora do ciclo de suporte não foram avaliadas oficialmente pela F5. Dessa forma, o fato de elas não aparecerem na lista de produtos afetados não deve ser interpretado como confirmação de que estão protegidas.
Administradores precisam verificar a versão exata instalada, os módulos ativos e a configuração de cada virtual server. A simples atualização do sistema para uma versão aparentemente recente não garante a correção se o hotfix específico ainda não tiver sido aplicado.
Exploração ativa aumenta a urgência
A gravidade do caso foi ampliada pela confirmação de ataques em andamento. Em 22 de setembro, a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu a CVE-2026-94127 no catálogo Known Exploited Vulnerabilities (KEV). Órgãos civis federais norte-americanos receberam prazo até 25 de setembro para adotar as medidas recomendadas.
Até o momento, não foram divulgadas informações públicas sobre a quantidade de dispositivos comprometidos, as organizações afetadas ou a identidade dos responsáveis pelas campanhas. A ausência desses detalhes, contudo, não reduz o risco para ambientes expostos.
Mitigação temporária para quem não pode atualizar
Organizações que não conseguem instalar o hotfix imediatamente podem solicitar à F5 uma mitigação baseada em iRule. A regra deve ser obtida por meio do suporte da fabricante e aplicada ao virtual server afetado.
A recomendação é tratar a iRule como uma medida provisória, e não como substituta da atualização definitiva. A CISA orientou que as instituições apliquem primeiro a mitigação, preservem dados relevantes para análise e instalem posteriormente o hotfix oficial.
Antes de alterar a configuração, é importante registrar o estado atual do equipamento, exportar arquivos de configuração e documentar os virtual servers associados ao OAuth. Essas informações podem ser essenciais para comparar o comportamento do sistema antes e depois da intervenção.
Indicadores de possível comprometimento
A F5 recomenda investigar os registros do BIG-IP em busca de sinais compatíveis com exploração. Um dos principais indícios é a existência de diversas requisições UserInfo malsucedidas no arquivo `/var/log/apm`. Dez ou mais solicitações provenientes do mesmo endereço IP em um intervalo curto merecem atenção especial.
Também devem ser analisados aumentos sem explicação no contador `total_failed` relacionado ao OAuth. Comandos incomuns registrados em `/var/log/audit`, principalmente próximos de eventos de autenticação, podem indicar tentativa de execução de código ou movimentação após o acesso inicial.
Arquivos de core associados ao TMM também precisam ser examinados. A fabricante relatou situações nas quais o TMM entrou em loop e recebeu um sinal `SIGABRT` enviado pelo daemon SOD. Apesar disso, um arquivo de core isolado não comprova que houve invasão, pois falhas operacionais ou instabilidades também podem produzir esse artefato.
Procedimentos recomendados às equipes de segurança
O CERT-EU recomenda preservar as evidências antes de aplicar qualquer mudança. A coleta deve incluir logs de autenticação, auditoria, eventos do APM, arquivos de configuração, informações de rede e registros de execução do sistema.
Depois da preservação, a organização deve instalar o hotfix, revisar os virtual servers associados ao OAuth e procurar sinais de atividade maliciosa em períodos anteriores. Se forem encontrados indicadores de comprometimento, o caso deve ser tratado como incidente de segurança, com isolamento do equipamento quando necessário.
Também é recomendável revisar contas administrativas, chaves, tokens, certificados e credenciais que possam ter sido acessados pelo sistema. Como as informações disponíveis não esclarecem se a atualização remove eventuais mecanismos de persistência instalados antes do patch, a correção deve ser acompanhada por uma investigação de integridade.
A atualização anterior pode não ser suficiente
A CVE-2026-94127 foi divulgada meses depois de outra falha do BIG-IP APM, a CVE-2025-53521, entrar no catálogo KEV. Sistemas que já foram atualizados para corrigir a vulnerabilidade anterior ainda podem exigir o novo hotfix, especialmente quando o APM opera como servidor de autorização OAuth.
Por isso, equipes responsáveis pelo BIG-IP não devem considerar o histórico recente de atualizações como garantia de proteção. É necessário comparar o inventário atual com o aviso específico da F5 e confirmar se os perfis OAuth estão habilitados em cada ambiente.
Como medida preventiva, empresas também devem reduzir a exposição dos virtual servers, restringir origens de tráfego quando isso for operacionalmente possível, monitorar requisições anômalas e manter os registros centralizados em uma plataforma de análise. A segmentação entre sistemas de autenticação, aplicações internas e interfaces administrativas pode limitar o impacto de uma eventual exploração.
A prioridade deve ser identificar rapidamente as instalações que atendem aos requisitos da vulnerabilidade, preservar evidências, aplicar a mitigação temporária quando necessário e instalar o hotfix correspondente. Em ambientes críticos, a atualização deve ser acompanhada por validação funcional do fluxo OAuth e por uma verificação posterior dos logs, garantindo que a correção não interrompa políticas legítimas de acesso nem deixe ativos serviços vulneráveis.