F5 corrige falha zero-day crítica no BIG-IP APM explorada para execução remota de código
A F5 liberou atualizações emergenciais para corrigir uma vulnerabilidade crítica no BIG-IP Access Policy Manager (APM). Identificada como CVE-2026-94127, a falha já está sendo explorada em ataques reais e permite a execução remota de código sem autenticação prévia. O problema recebeu nota 9,8 no CVSS, classificando-se entre as vulnerabilidades de maior gravidade.
O defeito está relacionado a um buffer overflow baseado em heap. Por meio do envio de tráfego especialmente preparado, um invasor pode atingir um virtual server vulnerável e executar comandos no sistema BIG-IP sem apresentar credenciais válidas.
A exploração, entretanto, depende de uma configuração específica. O equipamento precisa ter uma política de acesso do APM e um perfil de servidor de autorização OAuth vinculados ao mesmo virtual server. Implantações em que o BIG-IP atua somente como cliente OAuth ou resource server, sem um perfil de OAuth Authorization Server, não estão incluídas no cenário afetado pela CVE-2026-94127.
Essa exigência reduz o alcance potencial da falha, mas não elimina o risco para organizações que utilizam o APM como servidor de autorização. A F5 também esclareceu que proteger ou restringir a interface administrativa do BIG-IP não impede o ataque. O vetor de exploração está no virtual server responsável por receber o tráfego OAuth, e não necessariamente no painel de gerenciamento.
Equipamentos configurados em Appliance mode continuam sujeitos ao problema quando apresentam a combinação de componentes vulnerável. Por isso, a simples adoção desse modo operacional não deve ser considerada uma medida de proteção contra a CVE.
Versões afetadas e correções disponíveis
A vulnerabilidade atinge determinadas configurações das linhas BIG-IP 21.1, 17.5 e 17.1. A F5 disponibilizou os seguintes hotfixes:
– BIG-IP 21.1.0: Hotfix-BIGIP-21.1.0.2.0.30.22-ENG;
– BIG-IP 17.5: Hotfix-BIGIP-17.5.1.9.0.160.12-ENG, aplicável ao intervalo entre 17.5.0 e 17.5.1;
– BIG-IP 17.1: Hotfix-BIGIP-17.1.3.5.0.41.14-ENG, destinado às versões entre 17.1.0 e 17.1.3.
As versões que já atingiram o fim do suporte não foram analisadas pela fabricante. Portanto, o fato de elas não aparecerem explicitamente na lista de produtos afetados não significa que estejam protegidas. Administradores de ambientes legados devem tratar essas instalações como potencialmente expostas e buscar orientação técnica para migração, atualização ou contenção.
Exploração ativa aumenta a urgência
A gravidade foi reforçada pela confirmação de ataques em andamento. A CISA incluiu a CVE-2026-94127 no catálogo Known Exploited Vulnerabilities (KEV) em 22 de setembro. Órgãos civis federais dos Estados Unidos receberam prazo até 25 de setembro para adotar as medidas recomendadas pela F5.
Até agora, não foram divulgadas informações detalhadas sobre o número de equipamentos comprometidos, as organizações atingidas ou os responsáveis pelas campanhas. A ausência desses dados não deve ser interpretada como sinal de baixo risco, especialmente porque dispositivos BIG-IP costumam atuar na borda da rede e processar fluxos de autenticação e autorização.
Empresas que não conseguem instalar o hotfix imediatamente podem solicitar à F5 uma mitigação baseada em iRule. A regra deve ser obtida diretamente por meio do suporte técnico da fabricante e aplicada ao virtual server vulnerável. A medida é temporária e não substitui a instalação da correção definitiva.
A CISA recomendou que as organizações apliquem primeiro a iRule, quando necessário, para ganhar tempo e realizar uma triagem forense adequada. Depois, o hotfix deve ser instalado conforme o procedimento oficial de atualização do BIG-IP.
Como investigar sinais de comprometimento
A análise deve começar pela procura de eventos anormais nos registros do APM. Um dos sinais indicados é a existência de várias requisições UserInfo malsucedidas no arquivo `/var/log/apm`. Dez ou mais solicitações provenientes do mesmo endereço IP em um intervalo curto merecem investigação detalhada, sobretudo quando coincidem com erros de autenticação ou comportamento incomum no OAuth.
Também é importante verificar aumentos inexplicáveis no contador `total_failed` do OAuth. Esse indicador, isoladamente, não confirma uma invasão, mas pode ajudar a identificar tentativas automatizadas ou exploração direcionada.
Os administradores devem revisar ainda o `/var/log/audit` em busca de comandos incomuns registrados próximos a eventos de autenticação. Arquivos de core associados ao TMM também precisam ser preservados e analisados. Em alguns casos observados pela F5, o TMM entrou em loop e recebeu um sinal `SIGABRT` emitido pelo daemon SOD.
A presença de um arquivo de core do TMM, por si só, não comprova comprometimento. Falhas operacionais, instabilidades ou outros defeitos podem produzir o mesmo sintoma. A conclusão deve considerar a correlação entre horários, endereços IP, requisições OAuth, comandos executados, alterações de configuração e demais registros disponíveis.
Recomendações para resposta ao incidente
Antes de atualizar o equipamento, o CERT-EU recomenda preservar as evidências forenses. Isso inclui coletar registros relevantes, informações de configuração, arquivos de core e dados sobre conexões recentes. A preservação é importante porque a instalação do hotfix pode alterar ou eliminar vestígios úteis à investigação.
Após a coleta, a organização deve aplicar a correção, validar o funcionamento das políticas do APM e monitorar o ambiente em busca de novas atividades suspeitas. Se forem encontrados indícios de exploração, é necessário acionar o plano de resposta a incidentes, avaliar a possibilidade de acesso persistente e revisar credenciais, tokens e integrações que possam ter sido expostos.
As informações divulgadas até o momento não esclarecem se o hotfix remove automaticamente qualquer persistência criada antes da atualização. Por esse motivo, corrigir o software não deve ser tratado como encerramento da investigação. O equipamento precisa ser examinado para identificar alterações não autorizadas, contas criadas, comandos executados e conexões estabelecidas durante o período de exposição.
Também é recomendável reforçar o monitoramento temporariamente, limitar o acesso aos virtual servers OAuth quando isso for operacionalmente possível e revisar as regras de rede associadas ao serviço. A segmentação pode reduzir o impacto de uma eventual invasão, embora não substitua a atualização.
A CVE-2026-94127 foi divulgada poucos meses depois de outra falha do BIG-IP APM, a CVE-2025-53521, ter sido adicionada ao catálogo KEV. Assim, ambientes que já haviam sido atualizados para corrigir o problema anterior ainda podem estar vulneráveis e precisar do novo hotfix caso utilizem o APM como servidor de autorização OAuth.
Como prioridade, as organizações devem identificar todos os virtual servers com essa função, confirmar as versões instaladas, verificar se há correspondência com as configurações afetadas e programar a aplicação da correção. Em ambientes críticos, a atualização deve ser acompanhada por testes de autenticação, validação de alta disponibilidade e acompanhamento dos logs após a mudança.