CVE-2026-94127 pokazuje, dlaczego version-based vulnerability management potrafi dramatycznie przeszacować populację. Krytyczny problem dotyczy BIG-IP APM w konkretnej kombinacji funkcji — access policy i profil OAuth na virtual serverze. Dopiero ich połączenie z podatną wersją i osiągalnością tworzy rzeczywisty attack path.
vulnerable version AND APM present AND access policy active AND OAuth profile attached AND reachability.package/version affected, ale runtime not affected (brak wymaganej funkcji) — z evidence z konfiguracji, nie deklaracji właściciela.Affectedness to nie „BIG-IP present”
Critical score opisuje skutki i warunki dla podatnej konfiguracji — nie mówi, że każdy appliance z tym samym numerem wersji jest równie exploitable. Jeśli organizacja ma 300 BIG-IP, ale tylko 12 spełnia warunek APM+OAuth, priorytetem P0 jest 12 urządzeń — bez rezygnacji z patchowania pozostałych zgodnie z polityką. To ta sama lekcja config-aware co przy FreeRDP i NetScaler.
Verification i compensating controls
VE powinien zebrać: wersję/build, provisioned modules, virtual servers, przypisane access policies, profile OAuth, ekspozycję (internet/internal), status HA pair oraz rzeczywisty build po aktualizacji. Jeśli vendor dopuszcza bezpieczne czasowe wyłączenie podatnej funkcji lub odpięcie profilu od wystawionego virtual servera, może to przeciąć attack path — ale nie wymyślaj workaroundu bez guidance F5. Status exploitation musi pochodzić z F5/CISA; sam Critical RCE nie oznacza exploitation in the wild.
Powiązane na blogu
- FreeRDP: runtime-role VEX — affectedness zależna od roli/konfiguracji
- SolarWinds: dwa RCE, różne warunki — configuration-aware VM
Źródło
- F5 — K000152981 (CVE-2026-94127) — my.f5.com
Nota redakcyjna: stan informacji 29 września 2026. CVE-2026-94127 (F5 BIG-IP APM, Critical RCE) — exploitability zależy od kombinacji APM + access policy + profil OAuth. Artykuł nie potwierdza active exploitation i nie podaje workaroundu bez guidance F5.