---
title: "F5 BIG-IP APM の CVE-2026-94127: OAuth 認可サーバー構成でヒープバッファーオーバーフロー、認証なしで遠隔コード実行の可能性。CISA KEV 掲載・CVSS 9.8"
url: https://n-t-p.io/worldsecurity/articles/f5-big-ip-apm-oauth-heap-buffer-overflow-remote-code-execution-kev-cve-2026-94127
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月3日
updated: 2026年11月3日
severity: 緊急
cve: CVE-2026-94127
---

# F5 BIG-IP APM の CVE-2026-94127: OAuth 認可サーバー構成でヒープバッファーオーバーフロー、認証なしで遠隔コード実行の可能性。CISA KEV 掲載・CVSS 9.8

> **TL;DR:** F5 BIG-IP APM を OAuth 認可サーバーとして構成している場合、ヒープバッファーオーバーフローにより認証なしで遠隔コード実行を受ける可能性がある（CVE-2026-94127）。CVSS v3.1 9.8、CISA KEV に 2026-09-22 追加、EPSS 0.27。F5 の勧告 K000162605 と iRule による一時緩和を確認し、修正版へ更新する。

**要点**
- BIG-IP APM のヒープバッファーオーバーフロー（CWE-122）。アクセスポリシーと OAuth プロファイルを設定した OAuth 認可サーバー構成が対象で、認証なしでリモートコード実行の可能性
- CVSS v3.1 9.8・v4.0 9.3（F5、AV:N/PR:N/UI:N）。認証不要で 9 以上のため、本サイトでは critical
- CISA KEV に 2026-09-22 追加（対応期限 2026-09-25）。EPSS 0.2655（パーセンタイル 0.9802）。データプレーンの問題で、Appliance モードも対象
- 対象は 17.0.0〜17.1.3、17.5.0〜17.5.1、21.1.0。F5 の iRule で一時緩和し、修正版へ更新する。修正版の版番号と悪用の経路は未確認

F5 の BIG-IP APM（Access Policy Manager）に、ヒープベースのバッファーオーバーフロー（CWE-122）CVE-2026-94127 が公開されました。仮想サーバーにアクセスポリシーと OAuth プロファイルを設定し、APM を OAuth 認可サーバーとして使っている場合に、細工した通信により認証なしでリモートコード実行（RCE）に至る可能性があります。Appliance モードの BIG-IP も影響を受けます。データプレーンの問題で、コントロールプレーン（管理面）の露出はないとされています。CISA は 2026-09-22 に KEV（悪用が確認された脆弱性）カタログへ追加しました。F5（CNA）の CVSS は v3.1 で 9.8、v4.0 で 9.3 です。

## 概要

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-94127 |
| 製品 | F5 BIG-IP APM（Access Policy Manager） |
| 問題 | ヒープベースのバッファーオーバーフロー（CWE-122） |
| 前提条件 | アクセスポリシーと OAuth プロファイルが仮想サーバーに設定され、APM が OAuth 認可サーバーとして動作していること |
| 攻撃条件 | 認証不要。ネットワーク経由で細工した通信を送ること |
| 結果 | リモートコード実行の可能性（Appliance モードでも影響あり） |
| 影響しない構成 | APM を OAuth クライアント／リソースサーバーとしてのみ使い、認可サーバーのプロファイルを設定していない構成 |
| 悪用状況 | CISA KEV に 2026-09-22 追加（対応期限 2026-09-25）。ランサムウェアでの利用は「不明」 |

- 脆弱性があるのはデータプレーンで、管理インターフェースの露出を制限するだけでは防げません。OAuth 認可サーバーの仮想サーバーに到達できる相手が入口になります。
- CISA は、フォレンジックの初動調査（forensic triage）が必要としています。恒久パッチの適用前に、まずベンダー提供の iRule による一時緩和を行い、調査を進めたうえで最終パッチを入れる流れが示されています。

## 影響範囲

NVD の対象データでは、BIG-IP APM の次の版が影響を受けるとされています。

- 17.0.0 から 17.1.3 まで
- 17.5.0 から 17.5.1 まで
- 21.1.0

EoTS（技術サポート終了）に達した版は F5 の評価対象外です。そのため、上記以外の古い版が安全とは限りません。自社の BIG-IP が APM を有効にしているか、OAuth プロファイルを使っているかを確認してください。

## 修正と対策

- **F5 の勧告 K000162605 に従い、対象版から修正版へ更新する。** 修正版の具体的な版番号は、今回の確認では取得できていません（未確認）。
- 恒久パッチの適用前は、F5 が提供する iRule による一時緩和を適用する。CISA も、フォレンジックの初動調査を可能にするため、この iRule の適用を求めています。
- OAuth 認可サーバーとして公開している仮想サーバーを洗い出し、不要なものは停止する。インターネットに直接公開している場合は、到達できる範囲の制限も検討する。
- 侵害の兆候を調べる。BIG-IP のログ、想定外のプロセスやファイルの変更、外向きの通信を確認し、疑わしい場合は F5 と CISA の手順に沿って調査する。
- CISA の連邦機関向け対応期限（2026-09-25）はすでに過ぎています。民間の組織も、最優先で対応する目安にしてください。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | Analyzed |
| CVSS v3.1 | 9.8（F5、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H） |
| CVSS v4.0 | 9.3（F5、AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H） |
| CWE | CWE-122（ヒープベースのバッファーオーバーフロー） |
| EPSS | 0.2655（パーセンタイル 0.9802、FIRST、2026-11-02 時点） |
| KEV | 掲載あり（2026-09-22 追加、対応期限 2026-09-25、ランサムウェア利用は不明） |
| 出典 | NVD、F5（K000162605）、FIRST、CISA |

## 未確認の点

- 修正版の具体的な版番号と、17.5.1 や 21.1.0 に対する修正の提供状況。
- 実際の攻撃で悪用された具体的な経路、対象、規模（CISA は悪用を確認したとして掲載しているが、詳細は公開情報では確認できない）。
- ランサムウェア攻撃での利用（KEV 上は「不明」）。
- 恒久パッチの適用前に iRule で緩和できる範囲と、緩和後も残るリスク。


## 出典
- [NVD CVE-2026-94127](https://nvd.nist.gov/vuln/detail/CVE-2026-94127) — NIST NVD
- [CISA KEV カタログ（CVE-2026-94127）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-94127) — CISA
- [F5 K000162605](https://my.f5.com/manage/s/article/K000162605) — F5
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-94127) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/f5-big-ip-apm-oauth-heap-buffer-overflow-remote-code-execution-kev-cve-2026-94127