Für Netzwerk- und Sicherheitsadmins beginnt die Woche mit einem Notfall: F5 bestätigt, dass eine kritische Lücke in seiner beliebten BIG-IP-Plattform bereits aktiv ausgenutzt wird. Die US-Cybersicherheitsbehörde CISA hat die Lücke am 22. September 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen.
WAS DEN ANGRIFF MÖGLICH MACHT
Die Lücke CVE-2026-94127 sitzt in der Traffic Management Microkernel genannten Datenebene von BIG-IP und ist als Heap-basierter Pufferüberlauf eingestuft — Bewertung CVSS 9,8. F5 beschreibt den Auslöser so: Sind auf einem virtuellen Server gleichzeitig eine APM-Zugriffsrichtlinie und ein OAuth-Profil konfiguriert, reicht gezielt präparierter Datenverkehr, um Speichergrenzen zu sprengen — und daraus Codeausführung mit erhöhten Rechten zu gewinnen. Ein Login ist dafür nicht nötig.
Wichtig zur Einordnung: F5 stuft es ausdrücklich als reines Datenebenen-Problem ein, die Management-Oberfläche selbst ist nicht betroffen. Das ändert am Risiko wenig, denn genau die Datenebene ist es, die den Nutzerverkehr verarbeitet — also die Seite, die aus dem Internet erreichbar ist.
BESTÄTIGT: Angreifer nutzen die Lücke bereits
F5 schreibt in seinem Advisory unmissverständlich: „We have learned that this vulnerability has been exploited.“ Eine öffentlich zirkulierende Proof-of-Concept-Version ist bislang nicht bekannt — was aber eher für gezielte Angriffe als für Entwarnung spricht. Aufgefallen ist F5 die Ausnutzung durch eigene Beobachtungen, Details zu den Angreifern oder deren Zielen hat der Hersteller nicht veröffentlicht.
WELCHE VERSIONEN BETROFFEN SIND
Laut Advisory betrifft die Lücke:
- BIG-IP 21.1.0
- BIG-IP 17.5.0 bis 17.5.1
- BIG-IP 17.1.0 bis 17.1.3
Betroffen sind damit ausschließlich Appliances, bei denen tatsächlich APM plus OAuth-Profil auf einem virtuellen Server kombiniert läuft — ein in Unternehmensumgebungen mit Single-Sign-on-Anbindung aber sehr gängiges Setup.
SO SCHÜTZT DU DEINE APPLIANCE
F5 hat für alle betroffenen Zweige Engineering-Hotfixes bereitgestellt:
- 21.1.0 → Hotfix-BIGIP-21.1.0.2.0.30.22-ENG
- 17.5.1 → Hotfix-BIGIP-17.5.1.9.0.160.12-ENG
- 17.1.3 → Hotfix-BIGIP-17.1.3.5.0.41.14-ENG
Wer den Hotfix nicht sofort einspielen kann, sollte übergangsweise die von F5 über den Support bereitgestellte Notfall-iRule aktivieren. Zusätzlich empfiehlt sich, Logs auf gehäufte OAuth-Authentifizierungsfehler zu prüfen — ein möglicher Hinweis auf bereits laufende Angriffsversuche.
WARUM DAS AUCH KLEINERE HOMELABS BETRIFFT
BIG-IP gilt als Standard-Appliance in vielen Firmennetzen, taucht aber auch bei Bildungseinrichtungen, Vereinen und kleineren Dienstleistern auf, die ihre Zugänge per Single-Sign-on über OAuth an APM anbinden. Wer selbst keine BIG-IP betreibt, aber Dienste hinter einer solchen Appliance nutzt — etwa einen VPN-Zugang beim Arbeitgeber oder einer Hochschule —, sollte die eigene IT-Abteilung aktiv auf diese Lücke ansprechen. Gerade weil kein öffentlicher Exploit-Code kursiert, bleiben viele Betroffene bislang unbemerkt Ziel gezielter statt breit gestreuter Angriffe.