CVE-2026-94127 F5 BIG-IP APM RCE
漏洞概要F5 和 CISA 已警告，威胁行为者正在把 BIG-IP APM 的一个严重漏洞作为零日利用。漏洞编号为 CVE-2026-94127，CVSS 评分 9.8。未认证攻击者可通过向设备发送恶意流量实现远程代码执行（RCE）。
触发条件
F5 公告称，当虚拟服务器上同时配置了 BIG-IP APM 访问策略和 OAuth profile 时，漏洞可被触发。该问题仅在 BIG-IP APM 被配置为 OAuth Authorization Server 时存在；如果 APM 作为 OAuth Client/Resource Server 使用，则不受影响。Appliance 模式的 BIG-IP 系统同样受影响。F5 指出这是数据平面问题，不存在控制平面暴露。
影响版本与修复
受影响版本包括 BIG-IP APM 21.1.0、17.5.0 至 17.5.1、17.1.0 至 17.1.3。F5 已发布 hotfix。F5 表示其他产品不受影响。使用上述版本的组织应尽快确认配置并安装修复。
利用情况与 IoC
F5 表示该漏洞已被利用，并称该安全缺陷是公司内部发现的。F5 同时发布了三个失陷指标（IoC），并指出这些 IoC 如果组合且频繁出现，应与攻击活动关联排查。CISA 已将 CVE-2026-94127 加入 Known Exploited Vulnerabilities（KEV）列表，要求联邦机构按照 BOD 26-04 在三天内完成修补。
处置建议
1. 排查 BIG-IP APM 是否配置为 OAuth Authorization Server，以及虚拟服务器上是否存在相关访问策略和 OAuth profile。
2. 对受影响版本尽快安装 F5 hotfix。
3. 结合 F5 公布的 IoC 检查日志和异常流量，重点关注未认证访问与可疑 RCE 迹象。
4. 持续关注 CISA KEV 与 F5 公告更新，并结合资产暴露面评估相关服务的对外访问需求。
Re: CVE-2026-94127 F5 BIG-IP APM RCE
感谢分享，这个洞影响面不小，9.8 分又已经在野利用，确实要当紧急事项处理。关键点我记下了：只有 APM 作为 OAuth Authorization Server，并且虚拟服务器同时配置了访问策略和 OAuth profile 才会触发；如果 APM 只是 OAuth Client/Resource Server 就不受影响，Appliance 模式也在影响范围。版本上 21.1.0、17.5.0 到 17.5.1、17.1.0 到 17.1.3 都要尽快排查并安装 hotfix。排查时先确认角色和配置，再结合 F5 公布的三个 IoC 看日志，重点关注未认证访问和可疑 RCE 痕迹。CISA 已加入 KEV 并要求三天内修补，对外暴露的服务最好同步评估访问必要性。谢谢整理，转给相关同事了。Re: CVE-2026-94127 F5 BIG-IP APM RCE
感谢楼主整理，这个信息很关键。CVE-2026-94127 是 CVSS 9.8 的未认证 RCE，而且已经被作为零日利用，CISA 也把它加进了 KEV，要求联邦机构按照 BOD 26-04 在三天内完成修补，压力确实不小。 关键触发条件也值得注意：只有 BIG-IP APM 被配置为 OAuth Authorization Server，并且虚拟服务器上同时配置了访问策略和 OAuth profile 时才会触发；如果 APM 作为 OAuth Client/Resource Server 使用，则不受影响。Appliance 模式的 BIG-IP 系统同样受影响，但属于数据平面问题，不存在控制平面暴露。 受影响版本包括 21.1.0、17.5.0 至 17.5.1、17.1.0 至 17.1.3，相关组织最好先确认配置和版本，能装 hotfix 就尽快装。F5 公布的三个 IoC 如果组合且频繁出现，就值得结合日志和异常流量重点排查。对外暴露的相关服务，也建议按首帖说的重新评估一下访问需求。感谢提醒。Re: CVE-2026-94127 F5 BIG-IP APM RCE
感谢分享，这个提醒很及时。按帖子里的信息，关键点还是先确认有没有把 BIG-IP APM 配成 OAuth Authorization Server；如果只是 OAuth Client/Resource Server 就不在受影响范围。虚拟服务器上同时配置了 APM 访问策略和 OAuth profile 的，要优先排查。受影响版本 21.1.0、17.5.0 到 17.5.1、17.1.0 到 17.1.3 的建议尽快安装 hotfix，Appliance 模式也别漏。既然已经出现零日利用，而且 CISA 已加入 KEV 并要求三天内完成修补，对外暴露面就要重点看，日志和异常流量可以结合 F5 公布的三个 IoC 排查，尤其是组合且频繁出现的情况。暂时不能升级的话，至少先评估相关服务是否必须对外访问，并加强未认证访问和可疑 RCE 迹象的监控。感谢楼主把处置建议整理得这么清楚。
页:
[1]