F5 corrigió una vulnerabilidad crítica (CVE-2026-94127, CVSS 9.8) en BIG-IP APM que permite a un atacante sin autenticación ejecutar código en el equipo, y el fabricante confirma que ya se está explotando. Afecta a equipos con una política de acceso y un perfil OAuth en un servidor virtual. Si usas BIG-IP APM, preserva evidencia, aplica el hotfix y revisa señales de compromiso cuanto antes.
Qué está pasando
El 22 de septiembre de 2026, F5 publicó un aviso sobre una vulnerabilidad crítica en BIG-IP APM, su módulo de control de acceso (usado típicamente para acceso remoto y autenticación de usuarios hacia aplicaciones). El fabricante confirmó que la falla ya se está explotando en ataques reales.
La vulnerabilidad, CVE-2026-94127, es un desbordamiento de búfer en memoria dinámica (heap) que permite a un atacante, sin necesidad de credenciales, ejecutar código de forma remota en el equipo afectado. Por eso recibe un puntaje CVSS de 9.8.
Solo están expuestos los equipos BIG-IP APM en las versiones afectadas que tengan configurada una política de acceso (access policy) y un perfil OAuth en un servidor virtual. Si tu equipo cumple esas condiciones, debes tratarlo como prioritario.
Según el fabricante, el patrón de ataque combina múltiples fallas de autenticación OAuth, seguidas de comandos sospechosos y, poco después, una caída del proceso TMM con SIGABRT. Esa combinación es la señal que debería motivar una revisión manual del sistema.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-94127 | 9.8 | Desbordamiento de búfer en heap en BIG-IP APM que permite a un atacante no autenticado ejecutar código remoto en el equipo cuando hay una política de acceso y un perfil OAuth en un servidor virtual. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| F5 BIG-IP APM (con access policy y perfil OAuth en un virtual server) | 17.1.0 - 17.1.3 | — |
| F5 BIG-IP APM (con access policy y perfil OAuth en un virtual server) | 17.5.0 - 17.5.1 | — |
| F5 BIG-IP APM (con access policy y perfil OAuth en un virtual server) | 21.1.0 | — |
Qué hacer ahora
- Preserva la evidencia forense del equipo (logs, archivos core de TMM) antes de hacer cambios.
- Aplica el hotfix correspondiente publicado por F5 para tu versión.
- Revisa en
/var/log/apmfallas repetidas de OAuth con el errorinvalid_token, especialmente 10 o más desde una misma IP en poco tiempo. - Ejecuta
tmctl global_oauth_stat -s total_requests,total_userinfo_requests,total_failedy busca un aumento inexplicado entotal_failed. - Si encuentras fallas OAuth, revisa
/var/log/auditen torno a esas horas en busca de comandos sospechosos. - Investiga cualquier archivo core de TMM; por sí solo no es indicador, pero el fabricante ha observado que TMM entra en un bucle y el daemon SOD envía un SIGABRT.
- Si detectas cualquier señal de compromiso, inicia tu proceso de respuesta a incidentes.
Si no puedes actualizar de inmediato
Medidas temporales: reducen la exposición, pero no reemplazan la actualización.
- Si no puedes aplicar el parche de inmediato, F5 ofrece una mitigación basada en iRule para el servidor virtual afectado; debes solicitarla al soporte de F5.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Lo primero es confirmar si tienes BIG-IP APM con un perfil OAuth activo en algún servidor virtual: muchas empresas no tienen claro qué módulos y perfiles están habilitados en sus balanceadores, sobre todo si los configuró un integrador externo. Como la falla ya se explota y el equipo suele estar expuesto a Internet, no esperes a la ventana de mantenimiento habitual: aplica el hotfix o la iRule de mitigación hoy mismo.
Un error común es parchear y dar el tema por cerrado. Antes de actualizar, guarda los logs y archivos core, y revisa los indicadores, porque un equipo comprometido antes del parche puede seguir comprometido después. Si encuentras señales sospechosas, considera también cambiar credenciales y secretos que pasen por el equipo y revisar los sistemas internos a los que tiene acceso.
Cómo te ayuda UpTech
Implementamos y administramos firewalls de próxima generación con IPS/IDS, VPN con autenticación multifactor y segmentación por VLAN, para limitar quién puede llegar a los equipos expuestos.
Conocer el servicio → Respaldo y MonitoreoLos respaldos inmutables (RPO desde 15 minutos) te dejan un punto de restauración limpio si la falla llega a ser explotada.
Conocer el servicio → Respaldo y MonitoreoEl monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.
Conocer el servicio →