F5 BIG-IP APM'de aktif olarak istismar edilen kritik açık: CVE-2026-94127

F5, BIG-IP Access Policy Manager (APM) modülünde aktif olarak istismar edilen kritik bir açık konusunda müşterilerini uyardı. CVE-2026-94127 kimlikli açık CVSS 4.0 ölçeğinde 9.8 puan aldı ve kimlik bilgisi gerektirmeden uzaktan kod çalıştırmaya imkân veren bir yığın (heap) taşması olarak tanımlanıyor.

Hangi kurulumlar risk altında?

Açık her APM kurulumunu etkilemiyor. Risk, bir sanal sunucuda OAuth profili bulunan bir APM erişim politikasının tanımlı olduğu ve sistemin OAuth Authorization Server (yetkilendirme sunucusu) rolünü üstlendiği senaryolarda ortaya çıkıyor. APM'yi yalnızca OAuth istemcisi veya kaynak sunucusu olarak kullanan, yetkilendirme sunucusu profili olmayan kurulumlar risk altında değil.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Açık kontrol düzleminde değil, veri düzleminde bulunuyor; bu nedenle cihaz yönetim arayüzü doğrudan açığa çıkmıyor, ancak trafiği işleyen sanal sunucu üzerinden saldırı mümkün.

Etkilenen sürümler

• BIG-IP APM 21.x (21.1.0'dan itibaren)
• BIG-IP APM 17.5.0 – 17.5.1
• BIG-IP APM 17.1.0 – 17.1.3

Diğer BIG-IP modülleri, BIG-IQ, F5OS, NGINX ve Distributed Cloud hizmetleri etkilenmiyor. F5, her etkilenen sürüm için bir hotfix sağladığını belirtiyor; kesin derlemeler K000162605 numaralı bildirimde yer alıyor.

Saldırı belirtileri

ITdaily'nin aktardığına göre F5, tek bir IP adresinden gelen tekrarlayan OAuth hatalarının ardından şüpheli komutlar görülmesini ve TMM sürecinin çökmesini olası bir saldırı göstergesi olarak tarif ediyor. Hotfix'i hemen kuramayan kurumlar için F5 müşteri hizmetleri üzerinden etkilenen sanal sunucuya uygulanabilecek geçici bir iRule de sunuluyor.

Ne yapılmalı?

• BIG-IP APM üzerinde OAuth Authorization Server profili kullanılan sanal sunucuları belirleyin.
• K000162605'te listelenen hotfix'i en kısa sürede kurun; mümkün değilse F5'ten geçici iRule'u talep edip uygulayın.
• Loglarda aynı kaynaktan yoğun OAuth hataları, beklenmeyen komut çalıştırma izleri ve TMM çökmesi kayıtlarını geriye dönük olarak inceleyin.
• Bulgu varsa cihazı olası ele geçirilme senaryosuna göre ele alıp kimlik bilgilerini ve anahtarları yenileyin.