Le 22 septembre 2026, F5 a publié un avis sur CVE-2026-94127, un débordement de tas critique dans BIG-IP Access Policy Manager (APM) permettant une exécution de code à distance sans authentification dans une configuration précise. F5 confirme que la faille est exploitée; CISA l’a ajoutée le même jour à son catalogue des vulnérabilités exploitées (KEV). Elle vise un virtual server configuré avec une access policy et un profil OAuth lorsque BIG-IP APM joue le rôle de serveur d’autorisation.
Le scénario de configuration concerné
CVE-2026-94127 est un débordement de tas qui peut conduire à une exécution de code à distance sans authentification lorsque le virtual server combine une access policy APM et un profil OAuth authorization server. L’avis ne décrit pas une vulnérabilité touchant toutes les installations BIG-IP : le rôle OAuth et la configuration du virtual server comptent.
Selon l’avis du Cyber Centre canadien, les branches concernées sont 17.1.x, 17.5.x et 21.1.0; les hotfixes corrigés indiqués sont Hotfix-BIGIP-17.1.3.5.0.41.14-ENG, Hotfix-BIGIP-17.5.1.9.0.160.12-ENG et Hotfix-BIGIP-21.1.0.2.0.30.22-ENG. Vérifiez les versions et builds exacts dans l’avis F5 K000162605 avant toute intervention.
Pourquoi l’exploitation change la priorité
F5 confirme l’exploitation et CISA a inscrit CVE-2026-94127 au catalogue KEV le 22 septembre. Ces éléments justifient une correction prioritaire, mais ne publient ni une liste complète des organisations touchées ni la preuve que chaque système vulnérable a été compromis.
Un BIG-IP APM compromis peut néanmoins exposer des sessions, des configurations de fédération et des chemins d’accès vers des applications protégées. C’est pourquoi une mise à jour seule ne suffit pas lorsque l’interface était accessible depuis des réseaux non maîtrisés.
Les actions prioritaires pour les équipes réseau
Inventoriez les versions BIG-IP et les virtual servers qui combinent APM, access policy et profil OAuth authorization server. Appliquez le hotfix correspondant à la branche, selon F5. Si le correctif ne peut pas être installé immédiatement, CERT-EU indique que F5 fournit une iRule de mitigation pour le virtual server affecté, à obtenir auprès du support F5. Une règle visant uniquement le plan d’administration ne corrige pas ce scénario.
Préservez les journaux avant toute opération de nettoyage. Suivez les contrôles de détection de F5 et JPCERT/CC : erreurs répétées de requêtes OAuth UserInfo dans /var/log/apm, hausse inexpliquée de total_failed, puis vérification des journaux d’audit /var/log/audit aux mêmes horaires. Un fichier core TMM doit être examiné avec les autres indices; sa seule présence ne prouve pas une compromission. Transmettez toute combinaison suspecte à l’équipe de réponse à incident.
Les secrets et sessions à revoir
Après un accès potentiellement réussi, révoquez les sessions actives et faites tourner les comptes de service, certificats, clés et mots de passe utilisés par APM ou par les applications protégées. La rotation doit être coordonnée avec l’analyse : elle limite la réutilisation d’un secret mais ne supprime pas une persistance déjà installée.
Si l’analyse conclut à un accès non autorisé, révoquez les sessions et faites tourner les secrets que l’équipement pouvait lire ou utiliser, après préservation des éléments nécessaires à l’enquête. Pour un autre exemple documenté de rotation après exposition de secrets techniques, consultez notre article sur l’incident JetBrains-Cadence. Les utilisateurs doivent aussi se méfier des messages inattendus demandant une nouvelle authentification après un correctif.
Le lien avec Soclyde
Soclyde ne corrige pas BIG-IP APM et ne révoque pas les sessions à la place de l’équipe réseau. Il peut aider à préparer une rotation contrôlée en générant des secrets uniques et en les conservant dans des coffres chiffrés local-first, plutôt que dans des feuilles de configuration copiées entre prestataires.
Cette organisation complète le hotfix, la restriction réseau et l’investigation. Elle ne constitue ni une protection de l’appliance ni une preuve qu’un accès n’a pas été compromis.
À retenir
CVE-2026-94127 concerne certaines configurations OAuth de BIG-IP APM et fait l’objet d’une exploitation active. Vérifiez le périmètre exact, appliquez le correctif F5, cherchez des traces d’accès et faites tourner les secrets concernés. Pour structurer cette rotation, consultez le guide du générateur de mots de passe sécurisé ou contactez Soclyde.
