Qué ha ocurrido

CERT-EU publicó el 22 de septiembre un aviso sobre CVE-2026-94127 en BIG-IP APM. Es un desbordamiento de memoria de severidad crítica, CVSS 9,8, que puede permitir ejecución remota sin autenticación. El fabricante ha confirmado explotación activa.

Configuración y versiones que importan

El alcance requiere una política de acceso con perfil OAuth en el servidor virtual. CERT-EU identifica las ramas 17.1.0–17.1.3, 17.5.0–17.5.1 y 21.1.0. La referencia del fabricante determina el hotfix específico; no conviene interpretar una actualización cualquiera como corrección suficiente.

El aviso recomienda conservar evidencias, aplicar el hotfix y evaluar posibles compromisos. Si no puede parchearse, F5 facilita mediante soporte una mitigación con iRule: no debe improvisarse una regla equivalente.

Qué señales recoge el aviso

Los errores OAuth en /var/log/apm, el incremento de total_failed y comandos sospechosos en /var/log/audit permiten orientar la investigación. Un core de TMM o una caída aislada no acreditan una intrusión: hay que correlacionar las señales.

Análisis de Defensops: convertir la urgencia en un cambio controlado

Para una organización, el primer trabajo es relacionar cada dispositivo con sus servicios publicados y su responsable. Recomendamos separar el inventario de versiones del inventario de exposición: dos equipos con la misma versión pueden requerir prioridades diferentes por su configuración y accesibilidad.

Un procedimiento práctico debería dejar constancia de:

  1. Versión, política OAuth y servicios dependientes antes del cambio.
  2. Copia de configuración y registros conservados con acceso restringido.
  3. Hotfix aplicado, hora del cambio y resultado de las pruebas de autenticación.
  4. Revisión posterior de accesos administrativos, modificaciones y conexiones inesperadas.
  5. Decisión documentada sobre investigación adicional o cierre del riesgo.

Parchear reduce la exposición futura, pero no revoca automáticamente accesos que un atacante pudiera haber establecido previamente. Si aparecen indicios consistentes, la recuperación debe seguir un procedimiento de respuesta a incidentes y contemplar los secretos realmente expuestos. No recomendamos rotaciones indiscriminadas que interrumpan servicios sin conocer sus dependencias.

La capacidad de detectar estas señales depende de los registros disponibles, su retención y las reglas verificadas en cada entorno; esta noticia no acredita una cobertura de detección concreta.

Fuente y actualización

Aviso de CERT-EU del 22 de septiembre de 2026. Ampliación editorial de Defensops: 27 de septiembre de 2026. El análisis operativo anterior es una recomendación propia, no evidencia de un incidente en un cliente.