F5 parchea un día cero de BIG-IP explotado activamente; CISA da a las agencias federales hasta el viernes

F5 lanzó el martes actualizaciones de seguridad de emergencia para una vulnerabilidad crítica de día cero en BIG-IP Access Policy Manager (APM) que los atacantes están explotando activamente para lograr ejecución remota de código. La falla, catalogada como CVE-2026-94127, afecta a instancias de BIG-IP APM configuradas como Servidor de Autorización OAuth.

La vulnerabilidad importa de inmediato por quién depende del producto: F5 es una empresa Fortune 500 que sirve a más de 23,000 clientes, incluyendo 48 de las Fortune 50. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) añadió CVE-2026-94127 a su catálogo de Vulnerabilidades Explotadas Conocidas el mismo día que F5 publicó su aviso, y ordenó a las agencias federales asegurar sus redes contra la falla antes del viernes.

"Hemos sabido que esta vulnerabilidad ha sido explotada", dijo F5 en su aviso. La escala de exposición potencial es significativa. La organización sin fines de lucro Shadowserver rastrea actualmente más de 14,700 direcciones IP con huellas de BIG-IP APM en línea.

Este no es el primer roce serio de F5 con problemas de seguridad. En octubre de 2025, la empresa reveló que hackers patrocinados por un estado habían violado sus sistemas internos en agosto de 2025 y robado código fuente no divulgado de BIG-IP. CISA ha marcado ocho vulnerabilidades de F5 explotadas activamente desde noviembre de 2021.

Las organizaciones que ejecutan BIG-IP APM con perfiles de servidor de autorización OAuth configurados deben aplicar el parche de F5 inmediatamente o desplegar la iRule de mitigación.