F5 Signale une Exploitation Active de la Vulnérabilité Zero-Day de BIG-IP

F5 a divulgué un problème de sécurité critique dans son BIG-IP Access Policy Manager (APM) le 22 septembre 2026, après avoir confirmé que la vulnérabilité était exploitée activement dans des attaques réelles. La faille impacte les systèmes configurés avec à la fois un profil OAuth et une politique d'accès sur le même serveur virtuel.

La vulnérabilité, suivie sous le nom de CVE-2026-94127, est un débordement de tampon basé sur le tas qui peut permettre à des attaquants non authentifiés d'exécuter du code à distance sur les appareils BIG-IP affectés. F5 a déclaré dans son avis que ce problème représente un risque sérieux pour les organisations utilisant les configurations spécifiées.

Plusieurs autorités en cybersécurité, y compris CERT-EU et le Centre canadien pour la cybersécurité, ont publié des avis le même jour que l'annonce de F5. Ces organisations ont confirmé la nature critique de la vulnérabilité et ont signalé que l'exploitation avait déjà été observée dans la nature. Les deux agences ont recommandé une action immédiate pour atténuer le risque.

Selon le Centre canadien pour la cybersécurité, la vulnérabilité affecte spécifiquement les versions de BIG-IP APM 17.1.0 à 17.1.3, 17.5.0 à 17.5.1, et 21.1.0. L'agence a également détaillé quels correctifs correspondent à chaque version affectée, exhortant les administrateurs à les appliquer sans délai.

Ce que montrent les chiffres

• La vulnérabilité CVE-2026-94127 a un score CVSS v3.1 de 9.8.
• Le score CVSS v4.0 pour la faille est de 9.3.
• Des avis et alertes ont été publiés le 22 septembre 2026.
• Trois principales branches de versions de BIG-IP APM sont affectées.

F5 a rendu disponibles des correctifs d'ingénierie pour les versions impactées, y compris Hotfix-BIGIP-21.1.0.2.0.30.22-ENG.iso, Hotfix-BIGIP-17.5.1.9.0.160.12-ENG.iso, et Hotfix-BIGIP-17.1.3.5.0.41.14-ENG.iso. Le Centre canadien pour la cybersécurité a spécifié quel correctif s'applique à chaque branche de version, fournissant des conseils clairs pour la remédiation.

CERT-EU a conseillé aux organisations de préserver les preuves judiciaires, d'appliquer le correctif pertinent et de passer en revue les systèmes à la recherche de signes de compromission. Les indicateurs incluent des échecs d'authentification OAuth, des exécutions de commandes suspectes et des événements TMM SIGABRT, selon l'avis.

À la fois CERT-EU et le Centre canadien pour la cybersécurité ont recommandé l'application immédiate des correctifs fournis et un examen judiciaire approfondi des systèmes potentiellement affectés. Ces étapes visent à limiter l'impact de l'exploitation en cours et à aider les organisations à détecter toute activité non autorisée liée à la vulnérabilité.

La publication coordonnée des avis par F5, CERT-EU et le Centre canadien pour la cybersécurité souligne l'urgence de la situation. Les organisations utilisant BIG-IP APM avec la configuration vulnérable sont conseillées d'agir rapidement pour sécuriser leurs systèmes et enquêter sur tout signe de compromission.

* Cet article est basé sur des informations publiquement disponibles au moment de la rédaction.