Vulnerabilidade crítica encontrada no BIG-IP APM da F5

Uma vulnerabilidade crítica foi identificada no "BIG-IP Access Policy Manager (APM)" fornecido pela F5. A falha já está sendo explorada, e a empresa emitiu um aviso para que as organizações realizem a correção e verifiquem possíveis compromissos em seus sistemas.

No dia 22 de setembro, a F5 divulgou um advisory de segurança, detalhando uma vulnerabilidade de estouro de buffer baseada em heap, identificada como "CVE-2026-94127". Essa falha pode permitir a execução de código arbitrário quando um servidor virtual é configurado com "políticas de acesso" e um "perfil OAuth" como servidor de autorização OAuth, utilizando tráfego manipulado.

A vulnerabilidade também afeta o modo de appliance. O sistema de avaliação de vulnerabilidades comum, "CVSSv4.0", atribuiu uma pontuação base de "9.3", enquanto o "CVSSv3.1" avaliou a falha com uma pontuação de "9.8", classificada como crítica no nível máximo de quatro etapas.

A F5 confirmou que a vulnerabilidade foi descoberta internamente e que já está sendo utilizada em ataques.