F5 ha rilasciato un aggiornamento per correggere una falla zero-day critica in BIG-IP APM. La vulnerabilità permette di eseguire codice da remoto ed è già sfruttata in attacchi reali.
F5 ha rilasciato un aggiornamento di sicurezza urgente per risolvere una vulnerabilità zero-day critica nel modulo BIG-IP APM (Access Policy Manager). La falla, già sfruttata attivamente da aggressori prima del rilascio dei correttivi, permette l'esecuzione di codice da remoto senza necessità di autenticazione. Trattandosi di un sistema utilizzato dalle aziende come punto di ingresso perimetrale per VPN e Single Sign-On, la compromissione consente agli attaccanti di penetrare direttamente nella rete interna.
I dettagli tecnici della vulnerabilità F5 BIG-IP APM
La falla è identificata con il codice CVE-2026-94127 e ha ricevuto un punteggio di gravità CVSS v3.1 pari a 9.8 su 10. Il problema tecnico consiste in una sovrascrittura del buffer nella memoria heap.
Il difetto non colpisce tutte le installazioni, ma si attiva solo a una condizione specifica: il server virtuale BIG-IP APM deve essere configurato con un criterio di accesso e un profilo OAuth che opera come server di autorizzazione (OAuth Authorization Server). I sistemi usati solo come OAuth Client o Resource Server non sono vulnerabili.
Un aspetto critico è l'esposizione architetturale. La vulnerabilità risiede nel traffico di transito (data plane) e non nell'interfaccia di gestione amministrativa (control plane). Di conseguenza, limitare l'accesso alla console di amministrazione non è sufficiente per bloccare gli attacchi. Il problema non riguarda invece altri moduli come LTM, AFM, DNS, né i servizi cloud F5 o NGINX.
Impatto sulle infrastrutture e obblighi normativi
BIG-IP APM gestisce gli accessi aziendali. Sfruttando questo difetto direttamente sulle porte esposte a Internet, un utente malintenzionato può assumere il controllo totale del gateway.
Per le piccole e medie imprese, così come per gli studi professionali, una violazione del perimetro di accesso rappresenta un incidente di sicurezza grave. Oltre ai danni operativi, un accesso non autorizzato alla rete interna espone l'azienda a violazioni di dati personali. Questo fa scattare gli obblighi di notifica previsti dal GDPR e, per i soggetti coinvolti, i requisiti di segnalazione della direttiva NIS2.
Cosa devono verificare i responsabili IT
Per proteggere l'infrastruttura, i responsabili IT e i gestori di rete devono eseguire i seguenti passaggi operativi:
- Verificare la configurazione: Controllare i server virtuali attivi per determinare se utilizzano profili OAuth configurati come Authorization Server insieme a criteri di accesso APM.
- Installare i correttivi: Applicare i pacchetti hotfix rilasciati da F5. Le versioni corrette sono la 21.1.0.2.0.30.22, la 17.5.1.9.0.160.12 e la 17.1.3.5.0.41.14. Le versioni fuori supporto tecnico non sono state testate.
- Richiedere mitigazioni provvisorie: Se l'aggiornamento immediato non è possibile, contattare l'assistenza F5 per ottenere una regola iRule specifica da applicare al server virtuale per mitigare il rischio.
- Analizzare i log di sistema: Controllare il percorso
/var/log/apmalla ricerca di indicatori di compromissione. I segnali sospetti includono ripetuti fallimenti di autenticazione OAuth (come erroriinvalid_tokendallo stesso indirizzo IP) seguiti da riavvii anomali del processo di gestione del traffico (TMM SIGABRT). - Gestire l'incidente: Se si rilevano tracce di compromissione, è necessario isolare immediatamente il dispositivo e avviare un'analisi forense per verificare eventuali movimenti laterali nella rete.
