F5 a confirmé l’exploitation active de CVE-2026-94127, une vulnérabilité critique notée 9,8 sur 10 dans l’échelle CVSS et touchant BIG-IP Access Policy Manager (APM) lorsqu’il est configuré comme serveur d’autorisation OAuth. Un attaquant distant, sans identifiant ni interaction utilisateur, peut exécuter du code arbitraire sur l’appliance et en prendre le contrôle. L’éditeur a publié des correctifs en urgence et la CISA a inscrit la faille à son catalogue des vulnérabilités activement exploitées, avec une échéance de correction très courte pour les agences fédérales américaines.
Ce que révèle la faille CVE-2026-94127 #
Selon l’avis officiel de F5 (référence K000162605), CVE-2026-94127 est un dépassement de tampon en zone de tas (heap-based buffer overflow) déclenché par du trafic malveillant envoyé au serveur virtuel concerné. La faille ne concerne que les instances où une stratégie d’accès APM et un profil OAuth sont configurés sur le serveur virtuel pour faire fonctionner BIG-IP comme serveur d’autorisation OAuth : les déploiements qui utilisent APM uniquement en client OAuth ou en serveur de ressources ne sont pas concernés. F5 précise qu’il s’agit d’un problème touchant le plan de données et non le plan de contrôle : les systèmes en mode Appliance restent donc également vulnérables.
À retenir : l’exploitation ne nécessite aucune authentification préalable. Il suffit que le serveur virtuel OAuth vulnérable soit joignable pour que l’attaquant puisse tenter l’exécution de code à distance.
Quelles versions de BIG-IP APM sont concernées ? #
F5 a listé les branches suivantes comme vulnérables avant application du correctif :
| Branche BIG-IP | Versions vulnérables |
|---|---|
| 21.1 | 21.1.0 |
| 17.5 | 17.5.0 à 17.5.1 |
| 17.1 | 17.1.0 à 17.1.3 |
Des hotfix d’ingénierie ont été publiés pour chacune de ces branches. F5 propose également, pour les organisations qui ne peuvent pas appliquer le correctif immédiatement, une règle iRule à appliquer via un ticket support en attendant l’installation du correctif définitif.
Une exploitation confirmée et inscrite au catalogue CISA KEV #
F5 indique avoir « appris que cette vulnérabilité a été exploitée ». La CISA a ajouté CVE-2026-94127 à son catalogue des vulnérabilités connues pour être exploitées (Known Exploited Vulnerabilities) le 22 septembre 2026, en fixant une échéance de correction de trois jours pour les agences fédérales américaines en vertu de sa directive opérationnelle contraignante. Le CERT-EU a également publié une alerte de sécurité dédiée recommandant le correctif immédiat aux institutions européennes. D’après le suivi de Shadowserver relayé par SecurityWeek, plus de 14 700 adresses IP présentent encore une empreinte BIG-IP APM exposée sur internet, ce qui donne une idée de la surface d’attaque potentielle.
Comment détecter une tentative d’exploitation #
F5 a publié trois indicateurs à corréler entre eux pour identifier une possible attaque : des échecs d’authentification OAuth répétés et inhabituels, une hausse inexpliquée des requêtes en échec sur le service concerné, et des commandes suspectes visibles dans les journaux d’audit de l’appliance. BleepingComputer rapporte également que des redémarrages du processus TMM (Traffic Management Microkernel) avec des signaux SIGABRT peuvent trahir des tentatives d’exploitation ratées. Aucun de ces signaux pris isolément n’est concluant : c’est leur combinaison et leur fréquence qui doivent alerter une équipe de détection. La méthodologie de corrélation d’indicateurs de compromission décrite dans notre article sur les IOC et IOA s’applique directement à ce type de scénario.
Que faire ? Corriger et réduire l’exposition #
- Identifier les instances concernées : recensez les serveurs virtuels BIG-IP APM configurés avec une stratégie d’accès et un profil OAuth en mode serveur d’autorisation.
- Appliquer le correctif correspondant à votre branche via le support F5 (référence K000162605), en priorité sur les systèmes exposés à internet.
- Mitiger en attendant le correctif avec la règle iRule fournie par F5, en respectant l’ordre recommandé par la CISA : d’abord une triage forensique proactif, puis l’installation du correctif.
- Réduire la surface exposée : ne publiez pas les serveurs virtuels OAuth d’APM directement sur internet sans restriction d’adresses sources, et cloisonnez l’accès à l’interface de gestion.
- Surveiller les journaux en recherchant la combinaison des indicateurs publiés par F5 et en conservant un historique suffisant pour une investigation rétrospective.
- Documenter la criticité de la faille dans vos outils de suivi : notre base CVE et notre calculateur de score CVSS aident à prioriser les correctifs à l’échelle d’un parc, sur le même principe que celui détaillé dans notre guide pour comprendre le score CVSS.
À retenir : une organisation qui ne peut pas corriger immédiatement doit au minimum couper l’exposition directe du serveur virtuel concerné et activer l’iRule de mitigation fournie par F5.
Points clés #
- CVE-2026-94127 est une faille critique (CVSS 9,8) d’exécution de code à distance sans authentification dans BIG-IP APM configuré comme serveur d’autorisation OAuth.
- Les branches 21.1.0, 17.5.0 à 17.5.1 et 17.1.0 à 17.1.3 sont concernées avant application du hotfix F5.
- La CISA confirme une exploitation active et l’a inscrite à son catalogue KEV le 22 septembre 2026, avec une échéance de correction de trois jours pour les agences fédérales américaines.
- Plus de 14 700 IP avec une empreinte BIG-IP APM restent exposées sur internet selon Shadowserver, ce qui rend la correction urgente pour toute organisation utilisant ce produit.
- En l’absence de correctif immédiat, appliquez l’iRule de mitigation de F5 et surveillez les indicateurs de compromission publiés par l’éditeur.