F5 BIG-IP APM bị khai thác lỗ hổng nghiêm trọng, Google xác nhận hoạt động trong thực tế

F5 đã công bố một lỗ hổng nghiêm trọng CVE-2026-94127 trong BIG-IP APM, có thể cho phép kẻ tấn công thực thi mã từ xa. Lỗ hổng này đã được xác nhận đang được khai thác trong thực tế. CERT-EU khuyến nghị các tổ chức nên kiểm tra ngay lập tức.

Nội dung chính

• F5 BIG-IP APM có lỗ hổng nghiêm trọng CVE-2026-94127
• CVSS score của lỗ hổng là 9.8, là một lỗ hổng heap-based buffer overflow
• Kẻ tấn công không cần xác thực có thể thực thi mã từ xa
• Lỗ hổng ảnh hưởng đến các phiên bản BIG-IP APM được cấu hình với chính sách truy cập và hồ sơ OAuth trên máy chủ ảo
• CERT-EU khuyến nghị kiểm tra dấu hiệu của sự xâm phạm và bắt đầu quy trình phản ứng sự cố nếu phát hiện

Chi tiết sự việc

Ngày 22 tháng 9 năm 2026, F5 đã công bố một thông báo về một lỗ hổng nghiêm trọng trong BIG-IP APM. Lỗ hổng này có mã CVE-2026-94127 và CVSS score là 9.8, là một lỗ hổng heap-based buffer overflow. Kẻ tấn công không cần xác thực có thể thực thi mã từ xa trên thiết bị bị ảnh hưởng.

Lỗ hổng này ảnh hưởng đến các phiên bản BIG-IP APM được cấu hình với chính sách truy cập và hồ sơ OAuth trên máy chủ ảo.

CERT-EU khuyến nghị các tổ chức nên kiểm tra dấu hiệu của sự xâm phạm và bắt đầu quy trình phản ứng sự cố nếu phát hiện.

Nếu không thể áp dụng bản vá ngay, F5 cung cấp một giải pháp mitigating dựa trên iRule cho máy chủ ảo bị ảnh hưởng. Để nhận giải pháp này, F5 BIG-IP clients nên liên hệ với F5 support.

CERT-EU khuyên nên tìm kiếm các dấu hiệu của sự xâm phạm cung cấp bởi F5 trong thông báo của họ. Dấu hiệu này bao gồm nhiều thất bại OAuth, sau đó là các lệnh đáng ngờ, sau đó là TMM SIGABRT. Các thất bại OAuth: kiểm tra /var/log/apm cho sự xuất hiện lặp lại của những điều sau, đặc biệt là 10 hoặc hơn từ một IP trong một khoảng thời gian ngắn. OAuth authentication failures: kiểm tra /var/log/audit xung quanh những thời gian này để tìm lệnh đáng ngờ. TMM core files: sự hiện diện của một TMM core file riêng lẻ không phải là dấu hiệu, nhưng core files nên được điều tra.

Khuyến nghị

• Kiểm tra dấu hiệu của sự xâm phạm và bắt đầu quy trình phản ứng sự cố nếu phát hiện.
• Nếu không thể áp dụng bản vá ngay, liên hệ với F5 support để nhận giải pháp mitigating dựa trên iRule.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn CERT-EU Security Advisories. Vui lòng đối chiếu bài gốc trước khi sử dụng.