Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-122

CVE-2026-94127

F5 BIG-IP APM OAuth yapılandırmasında kimlik doğrulamasız uzaktan kod çalıştırma

F5 BIG-IP

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
23 Eyl 2026
Açık yaşı
36 gün
Kaydı açan
f5
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 22 Eyl 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 25 Eyl 2026.

Yönetici özeti

İnternete açık F5 BIG-IP cihazlarında, giriş yapmadan uzaktan cihazın ele geçirilmesine izin veren kritik bir zafiyet var ve saldırılarda aktif olarak kullanılıyor. Etkilenen yapılandırmayı kullanan kurumlar için acil müdahale gerekir; cihazın ele geçirilmesi kurum ağına erişim ve hizmet kesintisi riskini doğurur. Güncelleme veya geçici önlem gecikmeden uygulanmalıdır.

ÖzetTürkçe

BIG-IP APM'de bir erişim politikası ve OAuth profili sanal sunucuda yapılandırıldığında, özel hazırlanmış kötü amaçlı trafik uzaktan kod çalıştırmaya (RCE) yol açabilir. Açık yalnızca BIG-IP APM, OAuth Yetkilendirme Sunucusu (Authorization Server) olarak yapılandırıldığında mevcuttur; APM'yi yalnızca OAuth istemcisi veya kaynak sunucusu olarak kullanan, yetkilendirme sunucusu profili bulunmayan dağıtımlar etkilenmez. Sorun veri düzlemindedir (CWE-122, yığın tabanlı arabellek taşması), kontrol düzlemi etkilenmez. Appliance modundaki BIG-IP sistemleri de savunmasızdır. Teknik desteği sona ermiş (EoTS) sürümler değerlendirilmemiştir.

Saldırgan ne yapabilir?

Kimlik doğrulaması olmayan bir saldırgan ağ üzerinden cihazda uzaktan kod çalıştırabilir ve sistemin gizlilik, bütünlük ve erişilebilirliğini tamamen ele geçirebilir. Zafiyetin CISA KEV kataloğuna eklenmiş olması, aktif olarak istismar edildiğini gösterir.

Kaynaktaki açıklama (İngilizce)

When a BIG-IP APM access policy and an OAuth profile are configured on a virtual server, specific malicious traffic can lead to remote code execution (RCE). This vulnerability is only present when BIG-IP APM is configured as an OAuth Authorization Server. Deployments using APM strictly as an OAuth Client / Resource Server (without OAuth authorization server profiles configured) are not affected by this vulnerability.

Impact:
This vulnerability allows an unauthenticated attacker to perform remote code execution. The BIG-IP system in Appliance mode is also vulnerable. This is a data plane issue; there is no control plane exposure.



Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

Üreticinin geçici önlemi (İngilizce)

An iRule is available upon request.
Open a ticket with F5 support to request this.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Etkilenen sürüm dallarına göre F5'in yayımladığı düzeltme hotfix'ini uygulayın: 21.1.x için Hotfix-BIGIP-21.1.0.2.0.30.22-ENG, 17.5.x için Hotfix-BIGIP-17.5.1.9.0.160.12-ENG, 17.1.x için Hotfix-BIGIP-17.1.3.5.0.41.14-ENG. Üretici
  2. Hemen güncelleme yapılamıyorsa F5 destek kaydı açarak istek üzerine sağlanan iRule çözümünü talep edin ve uygulayın. Üretici
  3. CISA'nın gerekliliği doğrultusunda üretici talimatlarına göre önlemleri uygulayın, varlıkların internete açıklığını değerlendirin ve BOD 26-04 yama yönergelerine uyun. Önlemler uygulanamıyorsa ürünün kullanımını durdurun. CISA
  4. Önce hangi sanal sunucularda APM erişim politikası ile OAuth Yetkilendirme Sunucusu profilinin birlikte yapılandırıldığını belirleyerek öncelikli sistemleri tespit edin. Genel öneri

Ek önlemler

  • Cihazlarda olası ele geçirilme belirtilerini arayın; CISA'nın adli triyaj (forensics triage) gerekliliklerini dikkate alarak olağandışı süreçleri, dosya değişikliklerini ve giden bağlantıları inceleyin. CISA
  • OAuth yetkilendirme sunucusu olarak çalışan sanal sunucuların internete açıklığını gözden geçirin ve mümkünse erişimi güvenilir ağlarla sınırlandırın. Genel öneri
  • BIG-IP veri düzlemi trafiğini ve günlüklerini izleyin; OAuth uç noktalarına yönelik anormal istekler için uyarı tanımlayın. Genel öneri
  • Teknik desteği sona ermiş (EoTS) sürümleri kullanıyorsanız, bu sürümler değerlendirilmediği için desteklenen bir sürüme geçişi planlayın. Üretici

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
F5 BIG-IP ≥ 21.1.0, < Hotfix-BIGIP-21.1.0.2.0.30.22-ENG Hotfix-BIGIP-21.1.0.2.0.30.22-ENG
≥ 17.5.0, < Hotfix-BIGIP-17.5.1.9.0.160.12-ENG Hotfix-BIGIP-17.5.1.9.0.160.12-ENG
≥ 17.1.0, < Hotfix-BIGIP-17.1.3.5.0.41.14-ENG Hotfix-BIGIP-17.1.3.5.0.41.14-ENG

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı
  2. CISA KEV listesine eklendi (saldırılarda kullanılıyor)

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.