F5 и CISA предупредили об эксплуатации критической 0-day в BIG-IP APM
F5 устранила активно эксплуатируемую уязвимость CVE-2026-94127 в BIG-IP Access Policy Manager. Ошибка с оценкой CVSS v4.0 9,3 позволяет удалённо выполнять код при определённой конфигурации OAuth.
Что произошло
F5 выпустила исправление для CVE-2026-94127 — критической уязвимости нулевого дня в BIG-IP Access Policy Manager (APM), эксплуатацию которой уже зафиксировал производитель. Проблема представляет собой переполнение буфера в куче и может привести к удалённому выполнению вредоносного кода.
Уязвимость затрагивает BIG-IP APM, настроенные как OAuth Authorization Server, если политика доступа и OAuth-профиль назначены одному виртуальному серверу. Оценка CVSS v4.0 составляет 9,3. CISA включило CVE-2026-94127 в каталог Known Exploited Vulnerabilities и потребовало от федеральных ведомств США установить исправления до пятницы.
Что это значит для тех, кто работает с Безопасностью серверов
Для организаций, использующих BIG-IP APM как точку централизованного доступа к сетям, приложениям, API и облачным сервисам, уязвимость создаёт риск компрометации периметра через системы с указанной OAuth-конфигурацией. Поскольку эксплуатация подтверждена, приоритетом становится проверка затронутых виртуальных серверов и установка доступных исправлений F5.
Что делать
- Проверить, используются ли BIG-IP APM в роли OAuth Authorization Server.
- Определить виртуальные серверы, на которых одновременно настроены политика доступа и OAuth-профиль.
- Установить исправления F5 для CVE-2026-94127 на затронутых системах.
Пересказ и оценка значения для инфраструктуры — редакция U-SERVER. Технические детали сверяйте с первоисточником.