{"id":6095,"date":"2026-10-06T08:51:28","date_gmt":"2026-10-06T13:51:28","guid":{"rendered":"https:\/\/cert.pa\/?p=6095"},"modified":"2026-10-06T08:58:05","modified_gmt":"2026-10-06T13:58:05","slug":"csirt-panama-aviso-2026-oct-6-vulnerabilidad-critica-en-f5-big-ip-apm-que-permite-ejecucion-remota-de-codigo-cve-2026-94127","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=6095","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2026-oct-6: Vulnerabilidad Cr\u00edtica en F5 BIG-IP APM que permite ejecuci\u00f3n remota de c\u00f3digo \u2014 CVE-2026-94127"},"content":{"rendered":"\n

Fecha de emisi\u00f3n:<\/strong> 6 de octubre de 2026
CVE ID:<\/strong> CVE-2026-94127
Severidad:<\/strong> CR\u00cdTICA \u2014 CVSS 4.0: 9.3 \u00b7 CVSS 3.1: 9.8
Vector CVSS:<\/strong> CVSS:4.0\/AV:N\/AC:L\/AT:N\/PR:N\/UI:N\/VC:H\/VI:H\/VA:H\/SC:N\/SI:N\/SA:N
Tipo de vulnerabilidad:<\/strong> CWE-122: Desbordamiento de b\u00fafer basado en mont\u00edculo (heap)
Producto afectado:<\/strong> F5 BIG-IP Access Policy Manager (APM)
Explotaci\u00f3n activa:<\/strong> S\u00ed \u2014 Confirmada por F5 e incluida en el cat\u00e1logo CISA KEV (Known Exploited Vulnerabilities) desde el 22 de septiembre de 2026
Fuente:<\/strong> NVD \/ CISA \/ F5 Networks (K000162605)
Clasificaci\u00f3n TLP:<\/strong> TLP:CLEAR (Difusi\u00f3n p\u00fablica)<\/p>\n\n\n\n

I. Descripci\u00f3n<\/strong><\/p>\n\n\n\n

Se ha identificado una vulnerabilidad de desbordamiento de b\u00fafer basado en mont\u00edculo (heap) en el m\u00f3dulo Access Policy Manager (APM) de F5 BIG-IP, registrada como CVE-2026-94127 y calificada con 9.3 de 10 en la escala CVSS 4.0 (9.8 en CVSS 3.1).<\/p>\n\n\n\n

La vulnerabilidad permite a un atacante remoto no autenticado ejecutar c\u00f3digo arbitrario en el equipo mediante el env\u00edo de tr\u00e1fico especialmente manipulado. Solo afecta a los sistemas donde BIG-IP APM est\u00e1 configurado como Servidor de Autorizaci\u00f3n OAuth (OAuth Authorization Server), es decir, cuando un servidor virtual tiene asociada una pol\u00edtica de acceso de APM y un perfil OAuth. Las implementaciones que usan APM \u00fanicamente como Cliente OAuth o Servidor de Recursos (sin perfiles de servidor de autorizaci\u00f3n OAuth) no est\u00e1n afectadas.<\/p>\n\n\n\n

Se trata de un problema del plano de datos (data plane), sin exposici\u00f3n del plano de control; los sistemas BIG-IP en modo Appliance tambi\u00e9n son vulnerables.<\/p>\n\n\n\n

F5 ha confirmado que la vulnerabilidad est\u00e1 siendo explotada. El 22 de septiembre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorpor\u00f3 a su cat\u00e1logo de Known Exploited Vulnerabilities (KEV), con fecha l\u00edmite de remediaci\u00f3n para agencias federales del 25 de septiembre de 2026.<\/p>\n\n\n\n

Descripci\u00f3n t\u00e9cnica publicada en NVD (en ingl\u00e9s): \u00abWhen a BIG-IP APM access policy and an OAuth profile are configured on a virtual server, specific malicious traffic can lead to remote code execution (RCE). This vulnerability is only present when BIG-IP APM is configured as an OAuth Authorization Server.\u00bb<\/em><\/p>\n\n\n\n

II. Productos Afectados<\/strong><\/p>\n\n\n\n

Producto<\/th>Versiones afectadas<\/th>Versi\u00f3n corregida<\/th><\/tr><\/thead>
F5 BIG-IP APM 21.x<\/td>21.1.0<\/td>Hotfix-BIGIP-21.1.0.2.0.30.22-ENG<\/td><\/tr>
F5 BIG-IP APM 17.5.x<\/td>17.5.0 \u2013 17.5.1<\/td>Hotfix-BIGIP-17.5.1.9.0.160.12-ENG<\/td><\/tr>
F5 BIG-IP APM 17.1.x<\/td>17.1.0 \u2013 17.1.3<\/td>Hotfix-BIGIP-17.1.3.5.0.41.14-ENG<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

No afectados: <\/strong>los dem\u00e1s m\u00f3dulos de BIG-IP, BIG-IQ Centralized Management, BIG-IP Next, F5OS, NGINX y F5 Distributed Cloud. Las correcciones se distribuyen como Engineering Hotfixes (EHF) disponibles en F5 Downloads.<\/p>\n\n\n\n

III. Acciones Requeridas<\/strong><\/p>\n\n\n\n

1. Actualizar inmediatamente<\/strong>
Instalar el Engineering Hotfix correspondiente a la rama en uso (21.1.0, 17.5.1 o 17.1.3) disponible en F5 Downloads. Las versiones 17.5.0 y 17.1.0 \u2013 17.1.2 deben actualizarse a una versi\u00f3n de su rama que incluya la correcci\u00f3n.<\/p>\n\n\n\n

2. Mitigar inmediatamente si no es posible parchear<\/strong>
Identificar los servidores virtuales donde APM act\u00faa como Servidor de Autorizaci\u00f3n OAuth. Mientras se realiza la actualizaci\u00f3n, aplicar el iRule de mitigaci\u00f3n que F5 proporciona a trav\u00e9s de su soporte t\u00e9cnico y restringir el acceso desde Internet al servicio afectado, permitiendo \u00fanicamente las direcciones de confianza que lo necesiten.<\/p>\n\n\n\n

3. Verificar posible compromiso<\/strong>
El parche cierra el vector de explotaci\u00f3n, pero no elimina un acceso que el atacante ya haya obtenido. F5 indica que la combinaci\u00f3n de los siguientes indicadores, ocurridos en un per\u00edodo corto, amerita revisi\u00f3n:<\/p>\n\n\n\n