Обзор
22 сентября 2026 года компания F5 опубликовала информационное бюллетень по безопасности advisory для CVE-2026-94127, критической уязвимости переполнения динамической памяти (heap-based buffer overflow), затрагивающей F5 BIG-IP Access Policy Manager (APM). Уязвимость имеет оценку 9.8 по шкале CVSS v3.1. Неаутентифицированный злоумышленник с сетевым доступом к уязвимому виртуальному серверу может получить возможность удаленного выполнения кода (RCE) путем отправки специально сформированного трафика.
BIG-IP APM обеспечивает контроль доступа с учетом контекста идентификации для приложений и других корпоративных ресурсов и может интегрироваться с технологиями аутентификации, включая OAuth, OpenID Connect и SAML. CVE-2026-94127 не проявляется в конфигурации по умолчанию: для эксплуатации требуется виртуальный сервер BIG-IP, на котором настроены как политика доступа APM, так и профиль OAuth. Поскольку затронутые системы BIG-IP могут обрабатывать трафик на сетевом периметре организации, организации, использующие эту конфигурацию, должны расставить приоритеты в отношении устранения уязвимости.
Уязвимость затрагивает плоскость данных (data plane) и не затрагивает плоскость управления (control plane) BIG-IP. Системы BIG-IP, работающие в режиме Appliance, также подвержены уязвимости.
F5 приводит следующие затронутые линейки релизов и соответствующие исправленные хотфиксы:
- BIG-IP 21.1.0: версии до Hotfix-BIGIP-21.1.0.2.0.30.22-ENG
BIG-IP 21.1.0: версии до Hotfix-BIGIP-21.1.0.2.0.30.22-ENG
- BIG-IP 17.5.0: версии до Hotfix-BIGIP-17.5.1.9.0.160.12-ENG
BIG-IP 17.5.0: версии до Hotfix-BIGIP-17.5.1.9.0.160.12-ENG
- BIG-IP 17.1.0: версии до Hotfix-BIGIP-17.1.3.5.0.41.14-ENG
BIG-IP 17.1.0: версии до Hotfix-BIGIP-17.1.3.5.0.41.14-ENG
По состоянию на 22 сентября 2026 года CVE-2026-94127 была добавлена в каталог CISA KEV, при этом наличие общедоступного концепта атаки (PoC) не было подтверждено.
Рекомендации по смягчению последствий
Организации, использующие уязвимые развертывания F5 BIG-IP, должны применить соответствующий хотфикс F5 как можно скорее с операционной точки зрения, особенно в случаях, когда уязвимая конфигурация APM и OAuth доступна из недоверенных сетей.
F5 приводит следующие версии для устранения уязвимости:
- BIG-IP 21.1.0: обновитесь до версии Hotfix-BIGIP-21.1.0.2.0.30.22-ENG или более поздней.
BIG-IP 21.1.0: обновитесь до версии Hotfix-BIGIP-21.1.0.2.0.30.22-ENG или более поздней.
- BIG-IP 17.5.0: обновитесь до версии Hotfix-BIGIP-17.5.1.9.0.160.12-ENG или более поздней.
BIG-IP 17.5.0: обновитесь до версии Hotfix-BIGIP-17.5.1.9.0.160.12-ENG или более поздней.
- BIG-IP 17.1.0: обновитесь до версии Hotfix-BIGIP-17.1.3.5.0.41.14-ENG или более поздней.
BIG-IP 17.1.0: обновитесь до версии Hotfix-BIGIP-17.1.3.5.0.41.14-ENG или более поздней.
Администраторам следует сначала определить, настроены ли политика доступа BIG-IP APM и профиль OAuth одновременно на виртуальном сервере, так как эта конфигурация является обязательным условием для возникновения уязвимости.
Для организаций, которые не могут немедленно применимый применимое обновление, F5 предоставляет временное решение (workaround) в виде iRule через службу поддержки F5. Клиентам следует открыть тикет в службе поддержки F5, чтобы получить предоставленное вендором временное решение и следовать инструкциям F5 по его внедрению.
Клиенты Rapid7
Exposure Command, Vulnerability Management и Nexpose
Клиенты Exposure Command, Vulnerability Management и Nexpose могут оценить уровень подверженности CVE-2026-94127 с помощью проверок уязвимостей, которые планируется включить в сегодняшний (23 сентября) выпуск контента.
Обновления
- 22 сентября 2026 г.: Первоначальная публикация.
22 сентября 2026 г.: Первоначальная публикация.
