Kurzfassung

Die Schwachstelle CVE-2026-94127 in F5 BIG-IP APM wird nachweislich aktiv ausgenutzt. Unter bestimmten Konfigurationen kann ein nicht authentifizierter Angreifer darüber Remote Code Execution erreichen. Unternehmen sollten betroffene Systeme sofort priorisieren und nicht bis zum nächsten regulären Wartungsfenster warten.

Was ist passiert?

Betroffen ist F5 BIG-IP APM, also ein Produkt, das in vielen Umgebungen direkt an sicherheitskritischen Übergängen sitzt: vor Anwendungen, bei Remote-Zugängen und häufig auch internetnah. Genau deshalb ist die Lage ernst. Wenn eine solche Komponente verwundbar ist und die Lücke bereits in freier Wildbahn ausgenutzt wird, steigt das Risiko für schnelle Kompromittierungen deutlich.

Nach den bekannten Angaben tritt die Schwachstelle auf, wenn auf einem virtuellen Server sowohl eine Access Policy als auch ein OAuth-Profil konfiguriert sind. In dieser Konstellation kann die Verarbeitung fehlerhafter Anfragen in einen Heap-basierten Pufferüberlauf laufen. Das eröffnet einem nicht angemeldeten Angreifer im schlimmsten Fall die Ausführung von Schadcode aus der Ferne.

Für Unternehmen im DACH-Raum ist vor allem die typische Einsatzrealität relevant: BIG-IP-Systeme stehen oft exponiert, schützen zentrale Anwendungen und sind nicht selten Teil geschäftskritischer Authentifizierungs- und Fernzugriffsprozesse. Ein erfolgreicher Angriff kann daher weit über den Ausfall eines einzelnen Dienstes hinausgehen.

Technische Details

CVE-2026-94127 beschreibt einen Heap-basierten Pufferüberlauf in F5 BIG-IP APM. Voraussetzung ist eine Konfiguration, bei der auf einem virtuellen Server sowohl eine Access Policy als auch ein OAuth-Profil aktiv sind. Laut den vorliegenden Informationen kann ein nicht authentifizierter Angreifer die Schwachstelle aus der Ferne ausnutzen und dadurch Remote Code Execution erreichen.

NVD hat noch keinen CVSS-Wert vergeben.

Besonders wichtig für die Priorisierung: Die Schwachstelle wird laut CISA KEV aktiv ausgenutzt. Damit handelt es sich nicht um ein theoretisches Risiko, sondern um eine Lücke, die Angreifer bereits praktisch einsetzen. Das hebt die Dringlichkeit deutlich über viele andere neu gemeldete Produktfehler.

Wer ist betroffen?

Betroffen ist F5 BIG-IP APM. Welche konkreten Versionen verwundbar sind, wird in den verfügbaren Angaben nicht genannt. Ebenfalls offen ist, ob die Schwachstelle alle unterstützten Release-Zweige oder nur bestimmte Builds betrifft.

Besonders kritisch ist die Lage für Organisationen, die BIG-IP APM internetseitig veröffentlichen, für VPN- oder Remote-Access-Szenarien nutzen oder den Dienst vor besonders schützenswerten Anwendungen betreiben. Wer Access Policies zusammen mit OAuth-Profilen auf virtuellen Servern einsetzt, sollte diese Systeme als Erstes prüfen.

Für rein interne, nicht exponierte Installationen ist das Risiko zwar tendenziell geringer, aber nicht zu vernachlässigen. Sobald ein interner Angreifer oder bereits kompromittierte Systeme Zugriff auf den Dienst haben, kann die Schwachstelle ebenfalls relevant werden.

Empfohlene Maßnahmen

Erste Priorität hat die Identifikation aller BIG-IP-APM-Instanzen, insbesondere internetexponierter Systeme. Prüfen Sie sofort, wo auf virtuellen Servern Access Policy und OAuth-Profil gemeinsam konfiguriert sind. Diese Systeme sollten Sie als akut gefährdet einstufen.

Spielen Sie verfügbare Sicherheitsupdates oder vom Hersteller empfohlene Gegenmaßnahmen umgehend ein. Wegen der bestätigten aktiven Ausnutzung ist ein Aufschub bis zum nächsten Wartungsfenster nicht angemessen. Gibt es in Ihrer Umgebung Hochverfügbarkeits- oder Cluster-Konfigurationen, planen Sie die Aktualisierung so, dass die Angriffsfläche noch am selben Tag reduziert wird.

Falls kurzfristig kein Update möglich ist, sollten Sie die Exponierung minimieren: Zugriff auf Management- und Anwendungsendpunkte strikt eingrenzen, vorgeschaltete Filterregeln prüfen, unnötige Veröffentlichung beenden und betroffene virtuelle Server wenn nötig vorübergehend aus dem Internet nehmen. Wenn keine belastbare Gegenmaßnahme verfügbar ist, bleibt als sicherste Option nur die Deaktivierung der betroffenen Nutzung.

Parallel dazu gehört eine forensische Erstprüfung auf die To-do-Liste. Sichten Sie Logs rund um APM, Authentifizierung, virtuelle Server und ungewöhnliche Prozess- oder Konfigurationsänderungen. Achten Sie auf unerwartete Anfragen an exponierte APM-Dienste, neue administrative Aktivitäten und Abweichungen im Traffic-Verhalten. Da Remote Code Execution im Raum steht, sollten kompromittierte Systeme nicht nur gepatcht, sondern auch auf nachgelagerte Persistenz und Seitwärtsbewegung untersucht werden.

Wer F5 BIG-IP APM in Cloud- oder Managed-Service-Szenarien betreibt, sollte zusätzlich klären, wer für Patching und Härtung verantwortlich ist. In vielen Umgebungen scheitert schnelle Reaktion nicht an der Technik, sondern an unklaren Betriebsgrenzen zwischen internem Team, Rechenzentrum und Dienstleister.

Einschätzung von CyberSecurity-News.de

Die entscheidende Information ist nicht der technische Fehler selbst, sondern die bestätigte aktive Ausnutzung. Genau das macht CVE-2026-94127 für Unternehmen deutlich relevanter als viele andere neu gelistete Schwachstellen ohne bekannte Angriffe.

Die Informationslage ist allerdings noch lückenhaft. NVD hat noch keinen CVSS-Wert vergeben, und belastbare Details zu betroffenen Versionen oder zu verfügbaren Updates liegen hier nicht vor. Das erschwert die operative Einordnung, ändert aber nichts an der Priorität: Bei internetnahen APM-Systemen mit passender Konfiguration sollten Administratoren von hohem Risiko ausgehen, bis das Gegenteil belegt ist.

Positiv ist, dass die aktive Ausnutzung klar benannt ist. Weniger hilfreich ist, dass ohne präzise Versionsabgrenzung viele Betreiber erst selbst inventarisieren und Konfigurationen abgleichen müssen. Für große Umgebungen mit mehreren BIG-IP-Instanzen kostet das Zeit, die bei einer bereits ausgenutzten RCE-Lücke eigentlich nicht vorhanden ist.

Fazit

CVE-2026-94127 ist für Betreiber von F5 BIG-IP APM ein akutes Thema, sobald die betroffene Funktionskombination im Einsatz ist. Prüfen Sie exponierte Systeme sofort, patchen oder mitigieren Sie ohne Aufschub und behandeln Sie verdächtige Instanzen vorsorglich als potenziell kompromittiert.

Quellenangabe

Weiterführende Informationen: NVD-Eintrag zu CVE-2026-94127