F5 BIG-IP APM の OAuth 認可サーバ構成でヒープ破壊から遠隔コード実行（KEV・修正EHFあり）

Critical（CVSS 9.8）に分類されるF5 F5 BIG-IP APM（Access Policy Manager）。**仮想サーバにアクセスポリシーと OAuth プロファイルが構成され、かつ OAuth 認可サーバ（Authorization Server）として動作している場合に限る。**の脆弱性です。NVD の記述はこうである。「**仮想サーバに BIG-IP APM のアクセスポリシーと OAuth プロファイルが構成されている場合、特定の悪意あるトラフィックが遠隔コード実行（RCE）につながる**」。 **CVSS は 9.8（Critical）。** ベクタは **AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H** で、**ネットワーク経由・認証不要・利用者の操作不要**である。バグの種別は **CWE-122（ヒープベースのバッファオーバーフロー）**。 **該当条件がはっきり切られているのが、この CVE の一番実務的な情報である。** F5 の記述によれば、影響を受けるのは **BIG-IP APM が OAuth 認可サーバ（OAuth Authorization Server）として構成されている場合だけ**である。**APM を OAuth クライアント／リソースサーバとしてのみ使っている構成（認可サーバのプロファイルを構成していない場合）は影響を受けない。** つまり「APM を使っているか」ではなく「**APM を OAuth 認可サーバにしているか**」で該当が決まる。 **Appliance mode でも脆弱である**と明記されている点にも注意する。Appliance mode は管理シェルへのアクセスを制限して被害を抑える運用モードだが、この CVE はそれでは防げない。 **これはデータプレーン側の問題で、コントロールプレーンの露出は無い**ともされている。つまり狙われるのは管理インターフェースではなく、**利用者トラフィックを受けている仮想サーバそのもの**である。管理インターフェースを内側に隠していても、仮想サーバが外を向いていれば到達される。 **F5 自身も K000162605 で「悪用されたことを把握した」と明記しており、発見は F5 社内である。** F5 の CVSS v4.0 は 9.3（Critical）。 **CISA は 2026-09-22 にこれを KEV へ収載し、是正期限を 2026-09-25 とした。** 実際の悪用が確認されているという意味である。同日には Check Point の管理サーバの CVE-2026-93616、Arista VeloCloud Orchestrator の CVE-2026-93952 も収載されており、**ネットワーク境界の機器がまとめて狙われている週**として扱うのが実態に近い。 **なお、技術サポート終了（EoTS）に達したソフトウェア版は評価対象外**とされている。EoTS の版を使っている場合、「影響範囲に載っていない」ことは「安全である」ことを意味しない。

**まず該当するかどうかを、構成から確認する。** 影響は **OAuth 認可サーバとして構成された仮想サーバ**に限られる。tmsh で OAuth 認可サーバのプロファイルが存在するかを見るのが早い。 ``` tmsh list apm profile access tmsh list apm oauth oauth-server tmsh list ltm virtual all-properties | grep -i -A5 "profiles" ``` 認可サーバのプロファイルが1つも構成されていなければ、F5 の記述のとおり影響を受けない。**クライアント／リソースサーバとしての利用だけなら対象外である。** **恒久対応は修正版への更新である。** F5 のセキュリティアドバイザリ **K000162605**（2026-09-23 更新）に載っているブランチごとの版は次のとおり。 - **21.x**: 影響 21.1.0 → 修正 **Hotfix-BIGIP-21.1.0.2.0.30.22-ENG.iso** - **17.5.x**: 影響 17.5.0 - 17.5.1 → 修正 **Hotfix-BIGIP-17.5.1.9.0.160.12-ENG.iso** - **17.1.x**: 影響 17.1.0 - 17.1.3 → 修正 **Hotfix-BIGIP 17.1.3.5.0.41.14-ENG.iso** **いずれも通常のリリースではなくエンジニアリングホットフィックス（EHF）で、F5 Downloads から入手する。** F5 によれば、この EHF には BIG-IP Hardened Releases 2（HR2）の修正がすべて含まれる（詳細は K000163302）。表に無いブランチ（EoTS の版）は評価対象外であり、修正のあるブランチへ上げることになる。BIG-IP の他モジュール、BIG-IQ、BIG-IP Next、F5OS、NGINX、F5 Distributed Cloud は「影響なし」とされている。 **Appliance mode は緩和にならない。** F5 自身が Appliance mode でも脆弱だと明記している。 **F5 が示している緩和策は iRule である。** 影響を受ける APM の仮想サーバに iRule を適用する方法で、**iRule 本体は公開されておらず、F5 サポートに問い合わせて入手する**。EHF をすぐ当てられない場合はこれを使う。これとは別に、データプレーンの問題なので対象の仮想サーバへ到達できる送信元を絞ることも被害範囲を狭める。OAuth 認可サーバのプロファイルを外す選択もあるが、認証が止まるので業務影響が大きい。 **検知は、F5 が K000162605 に載せた3つの指標を組み合わせて見る。** F5 は「OAuth の失敗が繰り返され、その後に不審なコマンド、直後に TMM の SIGABRT」という並びを人が確認すべき組み合わせとしている。どれか1つだけでは侵害を意味しない。 - **OAuth の失敗**: `/var/log/apm` の `Request UserInfo from Source ID (null) IP <IP> failed. Error Code (invalid_token)` が1つのログで10回以上、特に同じ送信元から続く場合（信頼度は中） - **統計**: `tmctl global_oauth_stat -s total_requests,total_userinfo_requests,total_failed` の total_failed の説明できない増加 - **TMM のコアファイル**: TMM がループに入り、SOD デーモンが SIGABRT を送る事象が観測されている。上の失敗が出た時刻の前後で `/var/log/audit` もあわせて確認する ``` grep -c "invalid_token" /var/log/apm tmctl global_oauth_stat -s total_requests,total_userinfo_requests,total_failed ls -l /var/core/ ```

F5 F5 BIG-IP APM（Access Policy Manager）。**仮想サーバにアクセスポリシーと OAuth プロファイルが構成され、かつ OAuth 認可サーバ（Authorization Server）として動作している場合に限る。** を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-94127）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/25 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。