検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

F5 BIG-IP APM の CVE-2026-94127: OAuth 認可サーバー構成でヒープバッファーオーバーフロー、認証なしで遠隔コード実行の可能性。CISA KEV 掲載・CVSS 9.8

World Security 編集部
目次（5）

CVE-2026-94127

F5 の BIG-IP APM（Access Policy Manager）に、ヒープベースのバッファーオーバーフロー（CWE-122）CVE-2026-94127 が公開されました。仮想サーバーにアクセスポリシーと OAuth プロファイルを設定し、APM を OAuth 認可サーバーとして使っている場合に、細工した通信により認証なしでリモートコード実行（RCE）に至る可能性があります。Appliance モードの BIG-IP も影響を受けます。データプレーンの問題で、コントロールプレーン（管理面）の露出はないとされています。CISA は 2026-09-22 に KEV（悪用が確認された脆弱性）カタログへ追加しました。F5（CNA）の CVSS は v3.1 で 9.8、v4.0 で 9.3 です。

概要

項目内容
CVECVE-2026-94127
製品F5 BIG-IP APM（Access Policy Manager）
問題ヒープベースのバッファーオーバーフロー（CWE-122）
前提条件アクセスポリシーと OAuth プロファイルが仮想サーバーに設定され、APM が OAuth 認可サーバーとして動作していること
攻撃条件認証不要。ネットワーク経由で細工した通信を送ること
結果リモートコード実行の可能性（Appliance モードでも影響あり）
影響しない構成APM を OAuth クライアント／リソースサーバーとしてのみ使い、認可サーバーのプロファイルを設定していない構成
悪用状況CISA KEV に 2026-09-22 追加（対応期限 2026-09-25）。ランサムウェアでの利用は「不明」
  • 脆弱性があるのはデータプレーンで、管理インターフェースの露出を制限するだけでは防げません。OAuth 認可サーバーの仮想サーバーに到達できる相手が入口になります。
  • CISA は、フォレンジックの初動調査（forensic triage）が必要としています。恒久パッチの適用前に、まずベンダー提供の iRule による一時緩和を行い、調査を進めたうえで最終パッチを入れる流れが示されています。

影響範囲

NVD の対象データでは、BIG-IP APM の次の版が影響を受けるとされています。

  • 17.0.0 から 17.1.3 まで
  • 17.5.0 から 17.5.1 まで
  • 21.1.0

EoTS（技術サポート終了）に達した版は F5 の評価対象外です。そのため、上記以外の古い版が安全とは限りません。自社の BIG-IP が APM を有効にしているか、OAuth プロファイルを使っているかを確認してください。

修正と対策

  • F5 の勧告 K000162605 に従い、対象版から修正版へ更新する。 修正版の具体的な版番号は、今回の確認では取得できていません（未確認）。
  • 恒久パッチの適用前は、F5 が提供する iRule による一時緩和を適用する。CISA も、フォレンジックの初動調査を可能にするため、この iRule の適用を求めています。
  • OAuth 認可サーバーとして公開している仮想サーバーを洗い出し、不要なものは停止する。インターネットに直接公開している場合は、到達できる範囲の制限も検討する。
  • 侵害の兆候を調べる。BIG-IP のログ、想定外のプロセスやファイルの変更、外向きの通信を確認し、疑わしい場合は F5 と CISA の手順に沿って調査する。
  • CISA の連邦機関向け対応期限（2026-09-25）はすでに過ぎています。民間の組織も、最優先で対応する目安にしてください。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態Analyzed
CVSS v3.19.8（F5、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）
CVSS v4.09.3（F5、AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H）
CWECWE-122（ヒープベースのバッファーオーバーフロー）
EPSS0.2655（パーセンタイル 0.9802、FIRST、2026-11-02 時点）
KEV掲載あり（2026-09-22 追加、対応期限 2026-09-25、ランサムウェア利用は不明）
出典NVD、F5（K000162605）、FIRST、CISA

未確認の点

  • 修正版の具体的な版番号と、17.5.1 や 21.1.0 に対する修正の提供状況。
  • 実際の攻撃で悪用された具体的な経路、対象、規模（CISA は悪用を確認したとして掲載しているが、詳細は公開情報では確認できない）。
  • ランサムウェア攻撃での利用（KEV 上は「不明」）。
  • 恒久パッチの適用前に iRule で緩和できる範囲と、緩和後も残るリスク。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事