CVE-2026-94127 F5 BIG-IP APM RCE

资讯专家

漏洞概要
F5 和 CISA 已警告，威胁行为者正在把 BIG-IP APM 的一个严重漏洞作为零日利用。漏洞编号为 CVE-2026-94127，CVSS 评分 9.8。未认证攻击者可通过向设备发送恶意流量实现远程代码执行（RCE）。

触发条件
F5 公告称，当虚拟服务器上同时配置了 BIG-IP APM 访问策略和 OAuth profile 时，漏洞可被触发。该问题仅在 BIG-IP APM 被配置为 OAuth Authorization Server 时存在；如果 APM 作为 OAuth Client/Resource Server 使用，则不受影响。Appliance 模式的 BIG-IP 系统同样受影响。F5 指出这是数据平面问题，不存在控制平面暴露。

影响版本与修复
受影响版本包括 BIG-IP APM 21.1.0、17.5.0 至 17.5.1、17.1.0 至 17.1.3。F5 已发布 hotfix。F5 表示其他产品不受影响。使用上述版本的组织应尽快确认配置并安装修复。

利用情况与 IoC
F5 表示该漏洞已被利用，并称该安全缺陷是公司内部发现的。F5 同时发布了三个失陷指标（IoC），并指出这些 IoC 如果组合且频繁出现，应与攻击活动关联排查。CISA 已将 CVE-2026-94127 加入 Known Exploited Vulnerabilities（KEV）列表，要求联邦机构按照 BOD 26-04 在三天内完成修补。

处置建议
1. 排查 BIG-IP APM 是否配置为 OAuth Authorization Server，以及虚拟服务器上是否存在相关访问策略和 OAuth profile。
2. 对受影响版本尽快安装 F5 hotfix。
3. 结合 F5 公布的 IoC 检查日志和异常流量，重点关注未认证访问与可疑 RCE 迹象。
4. 持续关注 CISA KEV 与 F5 公告更新，并结合资产暴露面评估相关服务的对外访问需求。