F5 parche falla de día cero BIG-IP APM explotada en ataque RCE

F5 ha publicado actualizaciones de seguridad para abordar una vulnerabilidad crítica de día cero de BIG-IP APM que fue explotada en ataques de ejecución remota de código.

BIG-IP APM (abreviatura de Access Policy Manager) es la solución de proxy de gestión de acceso centralizado de la empresa que ayuda a los administradores a proteger el acceso a las redes, aplicaciones, la nube y las interfaces de programación de aplicaciones (API) de las organizaciones.

Registrada como CVE-2026-94127, la falla afecta se puede configurar como un servidor de autorización OAuth cuando un La política de acceso BIG-IP APM y un perfil OAuth se configuran en un servidor virtual.

“Hemos aprendido que esta vulnerabilidad ha sido explotada”, advirtió F5 en un aviso de seguridad publicado el martes. “Las implementaciones que utilizan APM estrictamente como recurso cliente/servidor OAuth (sin perfiles de servidor de autorización OAuth configurados) no se ven afectadas por esta vulnerabilidad”.

La compañía aconseja a los clientes que revisen los sistemas en busca de indicadores de compromiso si se detecta una combinación de múltiples fallas de autenticación OAuth y comandos sospechosos, seguidos poco después por un TMM SIGABRT.

F5 también compartió medidas de mitigación para los administradores que no pueden instalar actualizaciones de seguridad de inmediato, lo que requiere aplicar una iRule (disponible en el soporte de F5) al servidor virtual BIG-IP APM afectado.

Shadowserver Internet Threat Monitoring, una organización sin fines de lucro, ahora rastrea más de 14,700 direcciones IP con huellas digitales BIG-IP APM. Sin embargo, no hay información sobre cuántos ya han sido parcheados o son miel.

El martes, la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) también agregó CVE-2026-94127 a su Catálogo de vulnerabilidades explotadas conocidas (KEV) y ordenó a las agencias federales de EE. UU. que protegieran sus redes de esta falla antes del viernes.

“Este tipo de vulnerabilidades son un vector de ataque frecuente para ciberataques maliciosos y plantean riesgos importantes para la empresa federal”, advirtió la agencia de ciberseguridad.

Los grupos de ciberdelincuencia y amenazas estatales han explotado con frecuencia las vulnerabilidades de F5 en los últimos años. Por ejemplo, los atacantes atacaron fallas de seguridad en los productos F5 para violar las redes corporativas, dispositivo de secuestro, Asigne servidores internos, implemente malware para borrar datos y robar documentos confidenciales.

F5 también reveló en octubre de 2025 que piratas informáticos patrocinados por el estado violaron sus sistemas en agosto de 2025 y robaron el código fuente de seguridad de BIG-IP y vulnerabilidades no reveladas.

En noviembre de 2021, CISA ha detectado ocho vulnerabilidades F5 que se están explotando activamente, cuatro de las cuales también han sido objeto de abuso en ataques de ransomware.

F5 es una empresa Fortune 500 que ofrece ciberseguridad, red de entrega de aplicaciones (ADN) y otros servicios a más de 23.000 clientes en todo el mundo, incluidas 48 de las empresas Fortune 50 y el 80 % de Fortune Global 500.