F5 corrige una vulnerabilidad de día cero en BIG-IP APM que fue explotada en ataques de ejecución remota de código (RCE).

F5 ha publicado actualizaciones de seguridad para abordar una vulnerabilidad crítica de día cero en BIG-IP APM que se está explotando en ataques de ejecución remota de código.

BIG-IP APM (Access Policy Manager) es la solución de proxy de gestión de acceso centralizada de la compañía que ayuda a los administradores a proteger el acceso a las redes, aplicaciones, la nube y las interfaces de programación de aplicaciones (API) de sus organizaciones.

Identificada como CVE-2026-94127, la vulnerabilidad afecta a las instancias configuradas como servidor de autorización OAuth cuando se configura una política de acceso de BIG-IP APM y un perfil OAuth en un servidor virtual.

"Hemos detectado que esta vulnerabilidad ha sido explotada", advirtió F5 en un aviso de seguridad publicado el martes. "Las implementaciones que utilizan APM exclusivamente como cliente/servidor de recursos OAuth (sin perfiles de servidor de autorización OAuth configurados) no se ven afectadas por esta vulnerabilidad".

La compañía recomendó a sus clientes que revisen sus sistemas en busca de indicadores de compromiso si detectan una combinación de múltiples fallos de autenticación OAuth y comandos sospechosos, seguidos poco después por una señal TMM SIGABRT. F5 también compartió medidas de mitigación para los administradores que no puedan instalar de inmediato las actualizaciones de seguridad. Estas medidas requieren aplicar una iRule (disponible en el Soporte de F5) al servidor virtual BIG-IP APM afectado.

Shadowserver, una organización sin fines de lucro dedicada al monitoreo de amenazas en internet, actualmente rastrea más de 14 700 direcciones IP con huellas digitales de BIG-IP APM. Sin embargo, no hay información sobre cuántas ya han sido parcheadas o son honeypots.