Kurzfassung

F5 hat am 22. September 2026 eine kritische Schwachstelle in BIG-IP APM adressiert. Der Hersteller bestätigt, dass die Lücke bereits aktiv ausgenutzt wird. Unternehmen mit betroffenen BIG-IP-Installationen sollten ihre Systeme sofort priorisiert prüfen und absichern.

Was ist passiert?

Betroffen ist F5 BIG-IP APM, also das Access-Policy-Modul der BIG-IP-Plattform. Zu der Schwachstelle liegen bislang nur wenige öffentlich belastbare Details vor, klar ist aber: F5 hat eine Sicherheitswarnung veröffentlicht und aktive Angriffe bestätigt.

Damit steigt die Dringlichkeit deutlich. Sobald ein Hersteller laufende Ausnutzung einräumt, reicht es nicht mehr, das Thema in den normalen Patch-Zyklus zu schieben. Besonders kritisch ist das bei Systemen wie BIG-IP APM, die häufig an zentraler Stelle für Fernzugriffe, Anwendungszugänge und Identitätsfunktionen eingesetzt werden.

Technische Details

Öffentlich bekannt ist derzeit, dass es sich um eine als kritisch eingestufte Schwachstelle in BIG-IP APM handelt. Welche Komponente im Detail betroffen ist, welche Angriffsbedingungen gelten und ob eine Anmeldung erforderlich ist, geht aus den hier vorliegenden Informationen nicht hervor.

Auch zu CVE-Kennung, CVSS-Wert, CVSS-Vektor und exakten betroffenen Versionsständen liegen in den verfügbaren Angaben keine belastbaren Details vor. Ebenso ist nicht öffentlich benannt, welche Angriffskette bereits beobachtet wurde. Für Administratoren ist das unbefriedigend, ändert aber nichts an der Priorität: Bei bestätigter Ausnutzung zählt zunächst die schnelle Risikoreduktion.

Wer ist betroffen?

Betroffen sind Organisationen, die F5 BIG-IP APM im Einsatz haben. Das betrifft im DACH-Raum vor allem größere Unternehmen, Rechenzentren, Managed-Service-Provider, Finanzdienstleister, Industrieunternehmen und öffentliche Einrichtungen, die BIG-IP als Zugangskomponente oder für zentrale Authentifizierungs- und Remote-Access-Funktionen verwenden.

Besonders aufmerksam sollten Teams sein, wenn BIG-IP APM direkt oder indirekt aus dem Internet erreichbar ist. Systeme an der Perimeter-Grenze stehen regelmäßig zuerst im Fokus von Angreifern, weil sie bei erfolgreicher Kompromittierung oft weitreichenden Zugriff auf interne Anwendungen und Identitätsprozesse eröffnen.

Empfohlene Maßnahmen

Administratoren sollten BIG-IP-Apm-Systeme sofort inventarisieren und deren Erreichbarkeit aus dem Internet überprüfen. Danach folgt die beschleunigte Bewertung, ob die eigene Installation betroffen ist, und die unverzügliche Umsetzung der vom Hersteller beschriebenen Gegenmaßnahmen. Offizielle Details und verfügbare Korrekturen stellt F5 in seiner Sicherheitsinformation bereit; CERT-EU verweist dazu auf die Advisory unter CERT-EU.

Praktisch sinnvoll ist folgende Reihenfolge:

1. Exponierte BIG-IP-APM-Instanzen identifizieren und priorisieren.
2. Patch-Stand und Konfiguration umgehend gegen die Herstellerangaben prüfen.
3. Falls ein Update nicht sofort möglich ist, kurzfristige Eindämmungsmaßnahmen umsetzen und den Zugriff so weit wie möglich einschränken.
4. Protokolle, administrative Änderungen, neue Benutzer, verdächtige Sitzungen und ungewöhnliche Konfigurationsänderungen rückwirkend prüfen.
5. Systeme mit Internetbezug engmaschig überwachen und bei Verdachtsmomenten Incident-Response-Prozesse starten.

Wer BIG-IP APM für VPN, Webzugriffe oder föderierte Anmeldungen nutzt, sollte außerdem nachgelagerte Systeme im Blick behalten. Eine erfolgreiche Ausnutzung an dieser Stelle kann Folgezugriffe auf Anwendungen, Identitätsdienste und interne Verwaltungsoberflächen erleichtern.

Einschätzung von CyberSecurity-News.de

Die Lage ist für betroffene Betreiber ernst, auch wenn technische Einzelheiten noch lückenhaft sind. Entscheidend ist die bestätigte aktive Ausnutzung. Das reicht aus, um das Thema in vielen IT-Umgebungen ganz nach oben auf die Prioritätenliste zu setzen.

Schwach bleibt die öffentliche Informationslage, solange CVE, CVSS, exakte Versionsgrenzen und konkrete Indikatoren nicht breit verfügbar sind. Für Verteidiger erschwert das die schnelle Einordnung. Gleichzeitig ist Zurückhaltung bei technischen Details aus Herstellersicht nachvollziehbar, wenn bereits Angriffe laufen. Für die Praxis im DACH-Raum gilt deshalb: nicht auf vollständige Transparenz warten, sondern zuerst Angriffsfläche reduzieren und den Herstellerhinweisen eng folgen.

Fazit

Wenn Sie F5 BIG-IP APM betreiben, sollten Sie das Thema heute bearbeiten und nicht in den nächsten regulären Wartungstermin schieben. Priorisieren Sie exponierte Systeme, setzen Sie die vorgesehenen Korrekturen um und prüfen Sie parallel, ob es bereits Anzeichen für eine Kompromittierung gibt.

Quellenangabe

Weiterführende Informationen: CERT-EU Security Advisory 2026-013