F5 corrige CVE-2026-94127, un zero-day de BIG-IP APM con RCE sin autenticación
F5 corrige CVE-2026-94127, un zero-day de BIG-IP APM con RCE sin autenticación
F5 confirmó explotación de CVE-2026-94127 en BIG-IP APM configurado como servidor de autorización OAuth. La falla permite ejecución remota sin credenciales.
Qué ocurrió
F5 publicó correcciones de emergencia para CVE-2026-94127, una vulnerabilidad crítica de BIG-IP Access Policy Manager que ya fue explotada. Tráfico malicioso específico contra una política de acceso con perfil OAuth puede provocar ejecución remota de código sin autenticación.
La falla recibió CVSS 9,8 en la versión 3.1 y 9,3 en la versión 4.0. CISA la añadió al catálogo KEV el 22 de septiembre, con fecha de corrección del 25 de septiembre para agencias federales estadounidenses.
Alcance técnico
Solo son vulnerables las instancias BIG-IP APM configuradas como servidor de autorización OAuth, con una política de acceso y un perfil OAuth asociados a un servidor virtual. Los despliegues usados únicamente como cliente OAuth o servidor de recursos no están afectados.
La vulnerabilidad afecta al plano de datos, incluidas instalaciones en Appliance mode. Las ramas señaladas por F5 son 21.1.0, 17.5.0 a 17.5.1 y 17.1.0 a 17.1.3.
Mitigación y búsqueda de compromiso
F5 distribuyó hotfixes específicos para las ramas compatibles. Si no es posible instalarlos de inmediato, el fabricante ofrece una mitigación basada en iRule que debe solicitarse a soporte.
- Aplicar el hotfix exacto indicado por F5 para 21.1.0, 17.5.1 o 17.1.3 y verificar la instalación.
- Confirmar en la configuración si APM actúa como servidor de autorización OAuth; no inferir exposición solo por la versión.
- Revisar /var/log/apm en busca de ráfagas de errores invalid_token y correlacionarlas con comandos sospechosos en /var/log/audit.
- Investigar incrementos de total_failed en global_oauth_stat y volcados TMM próximos a los mismos eventos.
Impacto operativo
Un BIG-IP APM comprometido ocupa una posición privilegiada en el acceso corporativo. La respuesta debe incluir preservación forense, rotación de secretos expuestos y revisión de actividad posterior, además del parcheo.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1Help Net Security ↗prensa especializada
- 2
- 3
- 4F5 Security Advisory K000162605 ↗fabricante
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista