F5 patcht aktiv ausgenutzten BIG-IP-Zero-Day, CISA setzt Bundesbehörden Frist bis Freitag

F5 veröffentlichte am Dienstag Notfall-Sicherheitsupdates für eine kritische Zero-Day-Schwachstelle im BIG-IP Access Policy Manager (APM), die Angreifer aktiv ausnutzen, um Remote-Code-Ausführung zu erreichen. Die als CVE-2026-94127 erfasste Lücke betrifft BIG-IP-APM-Instanzen, die als OAuth-Autorisierungsserver konfiguriert sind.

Die Schwachstelle ist sofort bedeutsam wegen der Kunden, die auf das Produkt angewiesen sind: F5 ist ein Fortune-500-Unternehmen, das mehr als 23.000 Kunden bedient, darunter 48 der Fortune-50-Unternehmen. Die Cybersecurity and Infrastructure Security Agency (CISA) fügte CVE-2026-94127 am selben Tag, an dem F5 seine Warnung veröffentlichte, zu ihrem Katalog bekannter ausgenutzter Schwachstellen hinzu und wies Bundesbehörden an, ihre Netzwerke bis Freitag gegen die Lücke abzusichern.

"Wir haben erfahren, dass diese Schwachstelle ausgenutzt wurde", erklärte F5 in seiner Warnung. Das Ausmaß der potenziellen Gefährdung ist erheblich. Die gemeinnützige Bedrohungsüberwachungsorganisation Shadowserver verfolgt derzeit mehr als 14.700 IP-Adressen mit BIG-IP-APM-Fingerabdrücken online.

Dies ist nicht F5s erste ernsthafte Sicherheitsproblematik. Im Oktober 2025 gab das Unternehmen bekannt, dass staatlich unterstützte Hacker im August 2025 in interne Systeme eingedrungen waren und unveröffentlichten BIG-IP-Quellcode gestohlen hatten. CISA hat seit November 2021 acht aktiv ausgenutzte F5-Schwachstellen gemeldet.

Organisationen, die BIG-IP APM mit konfigurierten OAuth-Autorisierungsserver-Profilen betreiben, sollten F5s Patch sofort anwenden oder die Mitigations-iRule bereitstellen.