Trusted Design

CVE-2026-94127 の詳細

CVEの情報

説明:
When a BIG-IP APM access policy and an OAuth profile is configured on a virtual server, specific malicious traffic can lead to Remote Code Execution (RCE). Impact: This vulnerability allows an unauthenticated attacker to perform remote code execution. The BIG-IP system in Appliance mode is also vulnerable. This is a data plane issue; there is no control plane exposure. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

CVE更新日: 2026-09-22 15:17:24.313000

CVSSバージョン: 4.0

CVSSスコア: 9.3

KEVの情報

KEV更新日: 2026-09-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.022260000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: True

AIを使った解説

解説:

CVE-2026-94127は、F5 BIG-IP Access Policy Manager（APM）に存在する深刻な脆弱性です。以下に各観点から解説します。

1. 脆弱性の概要

CVE-2026-94127は、F5 BIG-IP APMにおけるヒープベースのバッファオーバーフローの脆弱性（CWE-122）です。この脆弱性は、認証されていない攻撃者が細工されたトラフィックを送信することで、BIG-IPシステム上でリモートコード実行（RCE）を可能にするものです。

F5は2026年9月22日にこの脆弱性を公表し、その時点で既に実際の攻撃で悪用されていることを確認しています。

1.1 影響 この脆弱性が悪用されると、認証されていない攻撃者によってBIG-IPシステム上で任意のコードが実行される可能性があります。 これはデータプレーンの問題であり、コントロールプレーンの露出を伴うものではありません。アプライアンスモードで運用されているBIG-IPシステムも影響を受けます。

1.2 深刻度 CVSS v3.1のベーススコアは9.8、CVSS v4.0のベーススコアは9.3であり、いずれも「Critical（緊急）」に分類されています。 米国CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、2026年9月22日にこの脆弱性を「Known Exploited Vulnerabilities（KEV）Catalog（既知の悪用された脆弱性カタログ）」に追加しました。

2. 対象となる環境

F5 BIG-IP APMが以下の条件で構成されている場合にこの脆弱性の影響を受けます。

  • BIG-IP APMがOAuth認可サーバーとして構成されている。
  • APMアクセスポリシーとOAuthプロファイルが同じ仮想サーバーに設定されている。

APMをOAuthクライアントまたはリソースサーバーとしてのみ使用している構成（OAuth認可サーバープロファイルが設定されていない場合）は、この脆弱性の影響を受けません。

2.1 影響を受けるOSバージョン 以下のBIG-IP APMバージョンが影響を受けます。 * BIG-IP APM 21.1.0 * BIG-IP APM 17.5.0 から 17.5.1 まで * BIG-IP APM 17.1.0 から 17.1.3 まで

サポート終了（EoTS）に達したソフトウェアバージョンは評価対象外とされており、古いバージョンが影響一覧に掲載されていないことを、影響がない根拠として扱うことはできません。

2.2 影響を受ける設定 * 仮想サーバーにAPMアクセスポリシーとOAuthプロファイルが設定されていること。 * BIG-IP APMがOAuth認可サーバーとして機能していること。

3. 影響を受けた時の兆候

F5は侵害を疑う手がかり（IoC）として以下を挙げています。 * 繰り返されるOAuth認証の失敗。 * その後に続く不審なコマンドの実行。 * TMM (Traffic Management Microkernel) がループに入り、SODデーモンがSIGABRTを送信する現象。 * TMMコアファイルの存在（単独では指標ではないが、調査が必要）。 * ファイアウォール、IDS/IPS、NetFlow、DNS、SIEM、および認証記録を含む、上下流のネットワークテレメトリを保存し、評価することが推奨されます。

これらの兆候が単独で存在するだけでは侵害を意味しませんが、OAuth認証の失敗が繰り返され、続いて不審なコマンドが実行され、その直後にTMMが異常終了するという組み合わせが攻撃と相関していると説明されています。

4. 推奨対策

4.1 本対策 F5が提供する修正用ホットフィックスを直ちに適用することが強く推奨されます。 利用可能なホットフィックスは以下の通りです。 * BIG-IP APM 21.1.0: Hotfix-BIGIP-21.1.0.2.0.30.22-ENG.iso * BIG-IP APM 17.5.x: Hotfix-BIGIP-17.5.1.9.0.160.12-ENG.iso * BIG-IP APM 17.1.x: Hotfix-BIGIP-17.1.3.5.0.41.14-ENG.iso

ホットフィックスの適用とは別に、F5が公開した指標に沿って、システムが既に侵害されていないかどうかの調査も合わせて進めることを推奨します。

4.2 暫定回避策（緩和策） ホットフィックスの即時適用が難しい場合、F5サポートから入手できるiRuleを影響を受けるBIG-IP APM仮想サーバーに適用することで、暫定的な緩和策とすることができます。

5. その他に解説すべき観点

  • 公表日: 2026年9月22日
  • CWE分類: CWE-122 (Heap-based Buffer Overflow)
  • 攻撃の複雑性: 攻撃者の事前認証や利用者の操作は不要であり、リモートから悪用可能です。
  • データプレーンの問題: この脆弱性は管理画面（コントロールプレーン）ではなく、利用者のトラフィックを処理するデータプレーン側の問題です。管理インターフェースをインターネットから隠していても防げません。
  • CISA KEVへの登録と対応期限: 米国CISAは、この脆弱性を既知の悪用された脆弱性カタログ（KEV）に登録し、米国の対象連邦機関に対して2026年9月25日までの修正期限を設定しました。これは悪用が確認されていることや、認証不要なリモートアクセス、低い攻撃の複雑性、深刻な影響の組み合わせを反映した異例の短い期限です。
  • ランサムウェア攻撃での利用状況: 現時点の一次資料からは、今回の脆弱性がランサムウェア攻撃に使用された、特定の攻撃グループが悪用している、情報流出が確認されたといった説明は裏付けられておらず、「不明」とされています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る