F5 signale une faille activement exploitée dans BIG-IP APM permettant l’exécution de code sans authentification. Un patch rapide s’impose.
F5 a découvert et corrigé une vulnérabilité critique dans BIG-IP APM. Cette faille permet à des attaquants d’exécuter du code sur les systèmes affectés sans identifiants. L’entreprise confirme que l’erreur (CVE-2026-94127) est déjà activement exploitée.
La vulnérabilité réside dans Access Policy Manager (APM). Il s’agit du module de F5 qui gère les politiques d’accès et l’authentification sur les systèmes BIG-IP. Les administrateurs utilisent ce module pour configurer et sécuriser l’accès au réseau. Le composant chargé de sécuriser la « porte d’entrée » s’avère lui-même défectueux, ce qui explique pourquoi le bug reçoit un score CVSS de 9,8 (4.0) et est donc critique.
Quel est le problème ?
Le problème survient lorsqu’une politique d’accès BIG-IP APM est configurée avec un profil OAuth sur un serveur virtuel, et que le système agit comme serveur d’autorisation OAuth. Dans ce scénario, un trafic malveillant peut provoquer un dépassement de tampon (buffer overflow) sur le tas (heap), entraînant finalement une exécution de code à distance. Les entreprises utilisant APM uniquement comme client OAuth ou serveur de ressources, sans profil de serveur d’autorisation, ne courent aucun risque.
Il est important de noter qu’un attaquant n’a pas besoin d’authentification pour exploiter la faille. De plus, il s’agit d’un problème sur le plan de données (dataplane) et non sur le plan de contrôle (controlplane), ce qui signifie que la gestion de l’appareil elle-même n’est pas directement exposée. F5 le souligne dans son avis.
Versions concernées et correctifs
La vulnérabilité affecte BIG-IP APM dans la branche 21.x à partir de la version 21.1.0, et dans la branche 17.x les versions 17.5.0 à 17.5.1 et 17.1.0 à 17.1.3. F5 propose des correctifs (hotfixes) pour chaque variante concernée. Les autres modules BIG-IP, BIG-IQ, F5OS, NGINX et les services Distributed Cloud ne sont pas sensibles à ce bug.
Les entreprises ne pouvant pas encore installer le patch peuvent appliquer une iRule temporaire sur le serveur virtuel concerné. Cette mesure est disponible via le service client de F5. L’entreprise recommande également aux organisations de vérifier les fichiers journaux pour détecter des erreurs OAuth répétées provenant d’une seule adresse IP, suivies de commandes suspectes et d’un plantage du processus TMM. Cette combinaison de signaux peut indiquer une attaque active.
Un correctif rapide reste nécessaire
La vulnérabilité étant déjà activement exploitée, F5 recommande d’appliquer le patch ou la mesure d’atténuation dès que possible. Les organisations utilisant BIG-IP APM avec l’authentification OAuth sont invitées à vérifier et mettre à jour leurs systèmes. Examiner les journaux à la recherche de signes d’exposition est également recommandé.