Il 22 settembre F5 ha pubblicato un avviso per la CVE-2026-94127, una vulnerabilità critica in BIG-IP Access Policy Manager (APM), il modulo che gestisce autenticazione e accessi remoti ad applicazioni e API. F5 conferma che la falla è già sfruttata. Lo stesso giorno le autorità statunitensi l’hanno inserita tra le vulnerabilità sfruttate, con tre giorni per correggerla.
Si tratta di un buffer overflow nello heap con gravità 9,8. Traffico costruito ad arte inviato al virtual server permette a un attaccante senza credenziali di eseguire codice sul dispositivo, anche nei sistemi in modalità Appliance. Chi sia l’autore degli attacchi, F5 non lo ha detto. Viene però spontaneo ricordare che meno di un anno fa l’azienda aveva ammesso il furto di parte del codice sorgente di BIG-IP e di informazioni su falle non ancora pubbliche da parte di un gruppo sponsorizzato da uno Stato. Se ci sia un legame, nessuno lo ha affermato.
Non è un problema di gestione
Il punto chiave è che la falla sta nel piano dati, quello che serve il traffico degli utenti, e non nell’interfaccia di gestione. Il traffico malevolo arriva al servizio pubblicato. Per questo limitare l’accesso all’interfaccia di gestione qui non serve.
Sono vulnerabili solo i virtual server che hanno sia una access policy APM sia un profilo OAuth e fanno da server di autorizzazione OAuth. Se usi APM solo come client OAuth o come resource server, questa falla non ti riguarda. Le correzioni sono gli hotfix Hotfix-BIGIP-21.1.0.2.0.30.22-ENG per la 21.1.0, Hotfix-BIGIP-17.5.1.9.0.160.12-ENG per le 17.5.0–17.5.1 e Hotfix-BIGIP-17.1.3.5.0.41.14-ENG per le 17.1.0–17.1.3. In attesa dell’hotfix, F5 fornisce una iRule di mitigazione temporanea.
Un server di autorizzazione OAuth rilascia i token con cui utenti e applicazioni accedono ai servizi. Chi lo controlla può intercettare sessioni e credenziali e raggiungere le applicazioni protette.
Il primo passo è un inventario della configurazione, non solo dei moduli installati: cerca i virtual server con access policy e profilo OAuth in ruolo di server di autorizzazione. Installa l’hotfix per il tuo ramo oppure applica subito la iRule, e se quel ruolo non ti serve, togli il profilo.
Sui dispositivi esposti controlla processi, file e connessioni in uscita anomali. Se sospetti una compromissione, revoca i token emessi e ruota chiavi e segreti OAuth.
