F5 BIG-IP

CVE-2025-53521 : La faille F5 BIG-IP requalifiée en RCE critique, exploitation active confirmée par CISA Source : SecurityWeek — Date : Mars 2026 🧩 Contexte La CISA a ajouté CVE-2025-53521 à son catalogue Known Exploited Vulnerabilities (KEV) et appelle les agences fédérales à appliquer le correctif sous trois jours. La vulnérabilité, initialement divulguée en octobre 2025 comme un problème de déni de service (DoS) de sévérité haute, a été requalifiée en RCE critique (CVSS 9.3) la semaine précédant l’alerte. F5 a mis à jour son advisory en conséquence. ...

🔍 Contexte Source : BleepingComputer, publié le 30 mars 2026. F5 Networks a mis à jour son advisory pour reclassifier CVE-2025-53521, initialement catégorisée comme une vulnérabilité de déni de service (DoS), en exécution de code à distance (RCE) de sévérité critique, suite à de nouvelles informations obtenues en mars 2026. 🎯 Vulnérabilité et impact Produit affecté : F5 BIG-IP APM (Access Policy Manager) CVE : CVE-2025-53521 Type : Remote Code Execution (RCE) sans authentification préalable Condition d’exploitation : BIG-IP APM avec des politiques d’accès configurées sur un serveur virtuel Impact observé : déploiement de webshells sur les équipements vulnérables non patchés Exposition : Shadowserver recense plus de 240 000 instances BIG-IP exposées sur Internet ⚠️ Exploitation active F5 confirme que la vulnérabilité est activement exploitée dans la nature. Des indicateurs de compromission (IOCs) ont été publiés par F5. La CISA a ajouté CVE-2025-53521 à sa liste des vulnérabilités activement exploitées et a ordonné aux agences fédérales américaines de sécuriser leurs systèmes BIG-IP APM avant le 30 mars 2026 à minuit. ...

Selon CISA (référence officielle citée), une Emergency Directive 26-01 est émise sous l’administration Trump pour toutes les agences du Federal Civilian Executive Branch, exigeant des correctifs sur les équipements F5 avant le 22 octobre 2025. Il s’agit de la troisième directive d’urgence de cette administration et elle concerne des produits critiques déployés sur les réseaux fédéraux. L’alerte fait suite à l’exploitation par un acteur étatique des produits F5, avec un accès persistant de longue durée à l’environnement de développement BIG‑IP et aux plates-formes de gestion des connaissances d’ingénierie, et une exfiltration de fichiers confirmée. ...

GreyNoise, via son blog, décrit des anomalies de trafic ciblant F5 BIG-IP, avec une hausse du crawling détectée le 15 octobre à 18:41 EST après l’annonce d’un incident de sécurité. Le trafic provient majoritairement de chercheurs et d’institutions académiques, notamment Cortex Xpanse, et cible des capteurs basés aux États-Unis et en France. Les observations antérieures incluent des anomalies le 14 octobre visant des systèmes sud-africains, et le 23 septembre touchant principalement des actifs américains. La plupart des flux correspondent à de la reconnaissance et du crawling, avec très peu de tentatives d’exécution de code contre les interfaces de gestion BIG-IP. ...