F5のBIG-IP APMに未認証リモートコード実行のゼロデイ脆弱性、すでに悪用確認で緊急パッチ公開
要点
-
米F5は「BIG-IP Access Policy Manager（APM）」に存在する、認証なしで遠隔からコードが実行できる深刻なゼロデイ脆弱性（CVE-2026-94127）を公表し、修正用のエンジニアリングHotfixを公開した。
-
深刻度を示すCVSS v3.1の基本スコアは9.8（CVSS v4.0では9.3）と極めて高く、脆弱性の悪用がすでに実環境で確認されている。
-
影響を受けるのは、APMを「OAuth認可サーバー」として設定し、同一の仮想サーバー上にアクセス制御ポリシーとプロファイルを配置している環境に限定される。
-
管理用インターフェースへのアクセスを制限していても攻撃通信は遮断できず、米CISAは連邦機関に対して迅速な対策を義務付けた。
-
F5はHotfixの即時適用が困難な管理者向けに、サポート経由でトラフィックを制御するiRuleによる一時的な緩和策も提供している。
-
米ネットワーク機器大手のF5は現地時間2026年9月22日、同社製品のアクセス制御機能「BIG-IP Access Policy Manager（APM）」に深刻なゼロデイ脆弱性「CVE-2026-94127」が確認されたとしてセキュリティアドバイザリを公開した。
-
この脆弱性はすでに悪用が確認されており、認証を経ることなく外部からシステム上で任意のコードを実行（RCE）される恐れがあるという。
-
同社は対象となるブランチ向けに修正用のエンジニアリングHotfixをリリースしたほか、米サイバーセキュリティ・インフラセキュリティ庁（CISA）も同日、本件を「悪用が確認された脆弱性カタログ（KEV）」へ追加し、連邦文民機関に対して緊急の対処を求めている。
脆弱性の詳細と攻撃の仕組み
今回公表されたCVE-2026-94127は、ヒープベースのバッファオーバーフロー（プログラムが動的に確保するメモリ領域の許容量を超えてデータを書き込んでしまう欠陥）に起因する脆弱性だ。
脆弱性の深刻度を評価する共通基準であるCVSSのスコアにおいて、F5はv3.1で9.8点（最大10点）、v4.0で9.3点と極めて高い危険度を付与している。
APMは、組織内のアプリケーションやネットワークへユーザーが到達する経路を制御するBIG-IPのモジュールだ。今回の欠陥は、特定の悪意あるトラフィックが仮想サーバー（BIG-IP上で対象通信を受信するアドレス）へ送信された場合にコード実行へ至る。
攻撃対象となるトラフィックは仮想サーバー自体へ直接向かうため、BIG-IPの管理用インターフェースへのアクセスを制限している環境であっても防ぐことはできない。また、セキュリティを強化した運用形態であるアプライアンスモード（Appliance mode）で稼働しているBIG-IPシステムも影響を受けると説明されている。
なお、F5のCVE情報およびCISAのKEV登録情報においては、実際に攻撃を受けたシステムの規模や攻撃者の素性、標的となった組織の具体的な名称などは明らかにされていない。
影響を受ける環境と対象バージョン
F5によると、本脆弱性はAPMがアプリケーション向けにアクセストークンを発行する「OAuth認可サーバー（認証・認可の権限を集中管理する仕組み）」として動作している環境のみに影響する。APMを単なるOAuthクライアントやリソースサーバーとしてのみ利用し、認可サーバープロファイルを設定していないシステムは対象外となる。
具体的には、設定画面の「Access > Federation > OAuth Authorization Server > OAuth Profile」で作成された認可サーバー用プロファイルと、APMのアクセスポリシーが同一の仮想サーバーに割り当てられている構成が影響条件に該当する。
影響を受けるバージョンと、それぞれに対応する修正用Hotfixは以下の通りだ。
| ブランチ | 影響を受けるバージョン | 修正Hotfix |
|---|---|---|
| 21.1系 | 21.1.0（Hotfix未適用） | Hotfix-BIGIP-21.1.0.2.0.30.22-ENG |
| 17.5系 | 17.5.0 〜 17.5.1（Hotfix未適用） | Hotfix-BIGIP-17.5.1.9.0.160.12-ENG |
| 17.1系 | 17.1.0 〜 17.1.3（Hotfix未適用） | Hotfix-BIGIP-17.1.3.5.0.41.14-ENG |
なお、技術サポートが終了（End of Technical Support）した過去の旧バージョンについては検証が行われておらず、安全性が確認されたわけではなく状態は「不明」とされている。
また、2026年3月にCISA KEVへ追加された別のAPM脆弱性（CVE-2025-53521）の修正バージョン（17.1.3や17.5.1.3など）を適用している環境であっても、認可サーバーとして稼働している場合は今回の影響範囲に含まれるため、新たなHotfixの導入が必要となる。
各機関の対応と回避策
F5は該当する各バージョンに向けたエンジニアリングHotfixの適用を強く求めている。何らかの事情でパッチを即座に適用できない運用環境に対しては、F5サポートへ問い合わせてチケットを発行することで、対象仮想サーバーへ適用可能なiRule（BIG-IP上で通信を柔軟に制御するスクリプト）による緩和策を提供している。
CISAは連邦文民機関に対し、6月に制定された指令に基づき9月25日までの対応完了を義務付けた。CISAは機関側に対し、プロアクティブなフォレンジック調査を実施できるようにするため、まずはiRuleによる緩和策を適用した上で、可能な限り速やかに正式なベンダーパッチを導入するよう通達している。
また、EU機関のサイバーセキュリティ組織であるCERT-EUも、証拠保全を行った上でHotfixを適用し、侵入の兆候を確認して該当する場合はインシデント対応を開始するよう促している。
侵害兆候の確認手順
CERT-EUが公開したアドバイザリでは、F5が提示した侵害兆候の確認ポイントが挙げられている。システム内で以下の事象が連続して確認された場合、人手による詳細な調査を行うことが推奨されている。
- APMログの異常:
/var/log/apmにおいて、「The access token is invalid.」というエラー内容を伴うUserInfoリクエストの失敗が繰り返し記録されている。 - 不審なコマンドの実行: 認証失敗の多発に続いて、不審なコマンドの実行履歴が残されている。
- プロセスの異常終了: その直後に、BIG-IPのトラフィック処理エンジンであるTMM（Traffic Management Microkernel）で「SIGABRT」シグナルによるプロセス異常終了が発生している。