F5 BIG-IP

🔍 Contexte Publié le 23 septembre 2026 par Sina Kheirkhah (@SinSinology) sur watchTowr Labs, cet article présente une analyse technique complète de CVE-2026-94127, une vulnérabilité de type heap overflow non authentifié affectant F5 BIG-IP APM, activement exploitée dans la nature au moment de la publication. 🎯 Produit et versions affectées La vulnérabilité affecte le module BIG-IP APM (Access Policy Manager) : BIG-IP APM 21.x : version 21.1.0 BIG-IP APM 17.x : versions 17.5.0 – 17.5.1 et 17.1.0 – 17.1.3 Les autres modules BIG-IP et BIG-IQ Centralized Management ne disposent d’aucun correctif applicable Les correctifs sont disponibles sous forme de hotfix ISO pour les branches 21.x et 17.x. ...

🔍 Contexte Source : SecurityWeek, article de Ionut Arghire publié le 23 septembre 2026. F5 et la CISA ont émis conjointement une alerte concernant l’exploitation active d’une vulnérabilité critique dans le composant BIG-IP Access Policy Manager (APM). 🚨 Vulnérabilité CVE : CVE-2026-94127 Score CVSS : 9.8 (critique) Type : Exécution de code à distance (RCE) sans authentification Condition d’exploitation : La vulnérabilité est déclenchable uniquement lorsque BIG-IP APM est configuré comme OAuth Authorization Server (non exploitable en mode OAuth Client/Resource Server) Vecteur : Envoi de trafic malveillant vers l’appliance lorsqu’une politique d’accès APM et un profil OAuth sont configurés sur un serveur virtuel Mode Appliance : Également vulnérable Exposition : Plan de données uniquement, pas d’exposition du plan de contrôle 📦 Versions affectées BIG-IP APM 21.1.0 BIG-IP APM 17.5.0 à 17.5.1 BIG-IP APM 17.1.0 à 17.1.3 🛠️ Correctifs F5 a publié des hotfixes pour les versions affectées. Aucun autre produit F5 n’est concerné selon l’éditeur. ...

CVE-2025-53521 : La faille F5 BIG-IP requalifiée en RCE critique, exploitation active confirmée par CISA Source : SecurityWeek — Date : Mars 2026 🧩 Contexte La CISA a ajouté CVE-2025-53521 à son catalogue Known Exploited Vulnerabilities (KEV) et appelle les agences fédérales à appliquer le correctif sous trois jours. La vulnérabilité, initialement divulguée en octobre 2025 comme un problème de déni de service (DoS) de sévérité haute, a été requalifiée en RCE critique (CVSS 9.3) la semaine précédant l’alerte. F5 a mis à jour son advisory en conséquence. ...

🔍 Contexte Source : BleepingComputer, publié le 30 mars 2026. F5 Networks a mis à jour son advisory pour reclassifier CVE-2025-53521, initialement catégorisée comme une vulnérabilité de déni de service (DoS), en exécution de code à distance (RCE) de sévérité critique, suite à de nouvelles informations obtenues en mars 2026. 🎯 Vulnérabilité et impact Produit affecté : F5 BIG-IP APM (Access Policy Manager) CVE : CVE-2025-53521 Type : Remote Code Execution (RCE) sans authentification préalable Condition d’exploitation : BIG-IP APM avec des politiques d’accès configurées sur un serveur virtuel Impact observé : déploiement de webshells sur les équipements vulnérables non patchés Exposition : Shadowserver recense plus de 240 000 instances BIG-IP exposées sur Internet ⚠️ Exploitation active F5 confirme que la vulnérabilité est activement exploitée dans la nature. Des indicateurs de compromission (IOCs) ont été publiés par F5. La CISA a ajouté CVE-2025-53521 à sa liste des vulnérabilités activement exploitées et a ordonné aux agences fédérales américaines de sécuriser leurs systèmes BIG-IP APM avant le 30 mars 2026 à minuit. ...

Selon CISA (référence officielle citée), une Emergency Directive 26-01 est émise sous l’administration Trump pour toutes les agences du Federal Civilian Executive Branch, exigeant des correctifs sur les équipements F5 avant le 22 octobre 2025. Il s’agit de la troisième directive d’urgence de cette administration et elle concerne des produits critiques déployés sur les réseaux fédéraux. L’alerte fait suite à l’exploitation par un acteur étatique des produits F5, avec un accès persistant de longue durée à l’environnement de développement BIG‑IP et aux plates-formes de gestion des connaissances d’ingénierie, et une exfiltration de fichiers confirmée. ...

GreyNoise, via son blog, décrit des anomalies de trafic ciblant F5 BIG-IP, avec une hausse du crawling détectée le 15 octobre à 18:41 EST après l’annonce d’un incident de sécurité. Le trafic provient majoritairement de chercheurs et d’institutions académiques, notamment Cortex Xpanse, et cible des capteurs basés aux États-Unis et en France. Les observations antérieures incluent des anomalies le 14 octobre visant des systèmes sud-africains, et le 23 septembre touchant principalement des actifs américains. La plupart des flux correspondent à de la reconnaissance et du crawling, avec très peu de tentatives d’exécution de code contre les interfaces de gestion BIG-IP. ...