Una vulnerabilidad crítica en los dispositivos F5 BIG-IP está siendo aprovechada por atacantes en este momento. Se identifica como CVE-2026-94127 y permite que un atacante remoto ejecute código en el sistema sin necesidad de autenticarse. Dado que muchos equipos BIG-IP se ubican en el borde de la red, el riesgo es directo y elevado.
Qué es exactamente
CVE-2026-94127 es un desbordamiento de búfer en el heap (CWE-122) en el módulo Access Policy Manager (APM) de BIG-IP. F5 la publicó el 22 de septiembre de 2026 en el aviso K000162605 y le asignó un CVSS v3.1 de 9.8, la categoría de severidad crítica.
El fallo se dispara cuando llega tráfico especialmente diseñado a un virtual server afectado: esa entrada corrompe la memoria del Traffic Management Microkernel (TMM) y abre la puerta a la ejecución de código arbitrario. En la práctica, un atacante que pueda alcanzar el servicio expuesto puede tomar control del dispositivo sin credenciales y sin interacción del usuario.
¿Estás expuesto? La condición clave
Aquí está el matiz que muchos pasan por alto: no es la configuración por defecto. Tener BIG-IP APM instalado no basta para ser vulnerable. La exposición depende de una combinación específica:
- Un virtual server con una access policy de APM y un perfil OAuth configurados a la vez.
- APM operando como OAuth Authorization Server.
Si usas APM únicamente como OAuth Client o Resource Server, no estás afectado por esa vía.
Un detalle defensivo importante: es un fallo del data plane, no del plano de gestión. Esto significa que restringir el acceso a la interfaz administrativa no elimina el riesgo, porque el ataque llega a través del tráfico de aplicación que procesa el virtual server, no por la interfaz de administración. Los sistemas en Appliance mode también pueden ser vulnerables si tienen la configuración afectada.
Explotación activa y PoC público
Dos hechos elevan la urgencia:
-
CISA la añadió a su catálogo KEV (Known Exploited Vulnerabilities) el 22 de septiembre de 2026, lo que confirma explotación real, no hipotética. Se fijó un plazo de remediación para sistemas federales de EE. UU. al 25 de septiembre de 2026.
-
Ya existe un PoC público. En la publicación inicial del aviso no había prueba de concepto confirmada, pero en los días siguientes watchTowr Labs liberó una herramienta que, aunque presentada como generador de artefactos de detección, demuestra funcionalmente la ejecución remota de código.
La combinación de explotación in the wild más código público disponible reduce drásticamente el tiempo del que dispones para actuar.
Qué hacer ahora
- Identifica la configuración vulnerable. Revisa si algún virtual server tiene simultáneamente una access policy de APM y un perfil OAuth (como Authorization Server). Ese es el criterio de exposición.
- Aplica el hotfix de F5. Las rutas de actualización publicadas son:
- BIG-IP 21.1.0 → Hotfix-BIGIP-21.1.0.2.0.30.22-ENG o posterior
- BIG-IP 17.5.0 → Hotfix-BIGIP-17.5.1.9.0.160.12-ENG o posterior
- BIG-IP 17.1.0 → Hotfix-BIGIP-17.1.3.5.0.41.14-ENG o posterior
- Si no puedes parchear de inmediato, aplica las mitigaciones descritas en el aviso oficial de F5.
- No te confíes con restringir la administración. Recuerda: es data plane. Prioriza cortar o proteger la exposición del virtual server afectado.
- Busca indicios de compromiso. Al haber explotación activa, asume que la exposición previa pudo ser abusada y revisa logs y comportamiento del dispositivo.
Conclusión
CVE-2026-94127 reúne todos los factores de una emergencia de parcheo: severidad crítica, RCE sin autenticación, explotación confirmada, PoC público y dispositivos habitualmente expuestos a Internet. Si tu organización usa F5 BIG-IP APM con la configuración descrita, el parcheo no debería esperar a la próxima ventana de mantenimiento.
Fuentes: aviso oficial de F5 (K000162605), catálogo CISA KEV, y análisis de Rapid7 y SOC Prime.
Fuente oficial de F5: Aviso de seguridad K000162605 — F5
Autor: (Edu Quijano)