F5 BIG-IP APM OAuth授权服务器存在零日漏洞，可无登录远程代码执行
看雪学苑
2026年9月23日 17:59
上海
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
F5官方披露BIG-IP Access Policy Manager（APM）存在一处高危零日漏洞（CVE-2026-94127），该漏洞已经观测到在野攻击利用。攻击者无需登录认证，即可在满足特定OAuth配置条件下，对目标BIG-IP设备实现远程代码执行（RCE）。
美国CISA已将该漏洞加入KEV已知被利用漏洞目录，并要求联邦民用机构在9月25日前完成缓解处置。
漏洞详情
该漏洞属于堆缓冲区溢出漏洞，CVSS v3.1评分9.8分，CVSS v4.0评分9.3分，风险等级为严重。
漏洞触发有严格前置条件：同一虚拟服务器上同时部署APM访问策略与OAuth授权服务器配置，APM作为OAuth授权服务器对外发放访问令牌。
不受影响场景：APM仅作为OAuth客户端、资源服务器，不存在OAuth授权服务器配置，则不受该漏洞影响。
攻击者向该虚拟服务器发送特制恶意流量，即可触发漏洞执行任意代码。仅限制BIG-IP管理界面访问无法防护该漏洞，设备硬件形态（Appliance模式）同样会受到影响。
补充说明：F5在9月23日更新CVE记录，明确限定漏洞仅存在于OAuth授权服务器角色。此前CISA、CERT-EU发布的预警描述范围更广，存在信息偏差，排查请以F5最新官方说明为准。
受影响版本与修复热补丁
已经修复过往CVE-2025-53521的系统，依然需要安装本次新hotfix。
已停止技术支持的旧版本F5设备，官方未做评估，安全性未知，不代表安全。
应急处置方案
-
优先方案：安装上表对应分支的官方Engineering Hotfix热补丁。
-
临时缓解：无法立刻部署补丁时，可向F5技术支持提交工单获取iRule临时防护规则，先做防护，保留取证时间。
CISA建议：先部署iRule防护，同时开展取证研判，后续尽快安装官方补丁。CERT-EU建议先留存取证数据，再执行补丁更新，并排查入侵痕迹，一旦发现失陷迹象，立即启动应急响应。
入侵痕迹排查方法
F5给出可用于自查的可疑指标，同时出现下述多类日志特征，建议人工深度核查：
-
APM日志（
/var/log/apm）：短时间内同一IP大量UserInfo请求失败，报错The access token is invalid，单次IP请求≥10次需要重点关注。 -
OAuth状态统计：执行
tmctl global\\_oauth\\_stat -s total\\_requests,total\\_userinfo\\_requests,total\\_failed，观察total\\_failed失败计数异常上涨。 -
审计日志：在OAuth报错的相近时间点，审计日志
/var/log/audit出现异常可疑命令。 -
TMM核心转储文件：单独出现不代表入侵，但伴随上述日志时，需要深入调查；漏洞攻击会造成TMM进程卡死循环，SOD守护进程抛出SIGABRT终止信号。
重要提醒：安装hotfix补丁无法清除攻击者已经获取的设备权限，若确认设备已遭入侵，必须完整开展应急响应。
资讯来源：The Hacker News、F5官方安全公告、CISA KEV、CERT-EU安全预警
球分享
球点赞
球在看
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论