# F5 potwierdził aktywne wykorzystanie krytycznej podatności w BIG-IP APM, CISA wyznaczyła termin na 25 września 2026 r. Krytyczna podatność CVE-2026-94127 w F5 BIG-IP APM (CVSS 9.8) pozwala niezalogowanemu atakującemu na zdalne wykonanie kodu i jest już wykorzystywana. CISA dodała ją do katalogu KEV z terminem 25 września 2026 r. - Adres: - Rodzaj: Streszczenie - Data publikacji: 24.09.2026 - Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/) - Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Źródło: [CISA Known Exploited Vulnerabilities](https://nvd.nist.gov/vuln/detail/CVE-2026-94127) (22 września 2026) - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) 22 września 2026 r. F5 opublikował komunikat o krytycznej podatności w produkcie BIG-IP APM i potwierdził jej aktywne wykorzystanie. Podatność ma identyfikator CVE-2026-94127 i wynik 9.8 w skali CVSS. To przepełnienie bufora na stercie, które pozwala atakującemu bez uwierzytelnienia wykonać kod na urządzeniu. Dotyczy konfiguracji, w której na serwerze wirtualnym ustawiono politykę dostępu i profil OAuth. Według CERT-EU podatne są wersje BIG-IP APM od 17.1.0 do 17.1.3, od 17.5.0 do 17.5.1 oraz 21.1.0. CISA umieściła podatność w katalogu znanych, wykorzystywanych podatności (KEV) z terminem 25 września 2026 r. Informacja o użyciu w kampaniach ransomware jest w katalogu oznaczona jako nieznana. Jeśli Twoja organizacja używa BIG-IP APM, sprawdź wersję i to, czy na serwerze wirtualnym działa polityka dostępu z profilem OAuth. CERT-EU zaleca zabezpieczyć dowody do analizy śledczej, zainstalować odpowiednią poprawkę (hotfix) i sprawdzić, czy nie ma śladów włamania. Jeśli takie ślady się pojawią, trzeba uruchomić proces reagowania na incydent. Gdy poprawki nie da się wdrożyć od razu, F5 udostępnia tymczasowe zabezpieczenie oparte na iRule. Klienci uzyskują je w pomocy technicznej F5. Według wskazówek producenta przytoczonych przez CERT-EU do przeglądu przez człowieka powinno skłonić połączenie trzech zjawisk: wielu nieudanych uwierzytelnień OAuth, podejrzanych poleceń w logach audytu i następującego zaraz po nich zakończenia procesu TMM sygnałem SIGABRT. Nieudane uwierzytelnienia widać w pliku /var/log/apm, szczególnie gdy z jednego adresu IP w krótkim czasie pojawia się ich 10 lub więcej. Sama obecność pliku core po TMM nie jest jeszcze wskaźnikiem włamania, ale wymaga zbadania. ## Źródła - [CISA Known Exploited Vulnerabilities: F5 BIG-IP APM: F5 BIG-IP APM Heap-based Buffer Overflow Vulnerability (CVE-2026-94127)](https://nvd.nist.gov/vuln/detail/CVE-2026-94127) - [CERT-EU: 2026-013: Critical Vulnerability in F5 BIG-IP APM](https://cert.europa.eu/publications/security-advisories/2026-013/) ## Pojęcia w tym tekście - [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. - [CVSS](https://pelnomocnikcyber.pl/slownik/cvss/): Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. - [CERT-EU](https://pelnomocnikcyber.pl/slownik/cert-eu/): Służba cyberbezpieczeństwa instytucji, organów i agencji Unii Europejskiej. Jej ostrzeżenia bywają źródłem aktualności na tej stronie; nie jest organem w rozumieniu ustawy o KSC. - [CISA](https://pelnomocnikcyber.pl/slownik/cisa/): Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. - [Katalog KEV](https://pelnomocnikcyber.pl/slownik/katalog-kev/): Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności. - [Ransomware](https://pelnomocnikcyber.pl/slownik/ransomware/): Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. - [Incydent](https://pelnomocnikcyber.pl/slownik/incydent/): Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny. ## Jak powstała ta wiadomość Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 22 września 2026; tekst sprawdził i zatwierdził autor przed publikacją.