CVE-2026-94127
Cuando una política de acceso de BIG-IP APM y un perfil OAuth están configurados en un servidor virtual, un tráfico malicioso específico puede provocar la ejecución remota de código (RCE). Esta vulnerabilidad solo está presente cuando BIG-IP APM está configurado como servidor de autorización OAuth. Las implementaciones que utilizan APM estrictamente como cliente OAuth / servidor de recursos (sin perfiles de servidor de autorización OAuth configurados) no se ven afectadas por esta vulnerabilidad. Impacto: Esta vulnerabilidad permite que un atacante no autenticado ejecute código de forma remota. El sistema BIG-IP en modo Appliance también es vulnerable. Este es un problema del plano de datos; no existe exposición del plano de control. Nota: Las versiones de software que han alcanzado el fin del soporte técnico (EoTS) no se evalúan.
Explotada activamente
- En el catálogo CISA de vulnerabilidades explotadas desde el 22 sept 2026
- Las agencias federales de EE. UU. deben corregirla antes del 25 sept 2026 (BOD 22-01)
- Atacada 1 día antes de que la vulnerabilidad se hiciera pública
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fuente: CISA KEV · 22 sept 2026 22 sept 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| f5 | big-ip access policy manager | <= 17.1.3 |
Artículos relacionados
CISA añade dos vulnerabilidades explotadas al catálogo KEV y da tres días a las agencias federales para aplicar los parches
CISA añade CVE-2026-5430 (WSO2) y CVE-2026-71362 (Adobe) al KEV por explotación activa; parche federal antes del 27 de septiembre.
Los ataques activos convierten las vulnerabilidades de VPN y gestión de Check Point en una prioridad inmediata de parcheo
Check Point confirma explotación activa de CVE-2026-85102 y CVE-2026-93616 en VPN y gestión. CISA exige parchear antes del 25 de septiembre de 2026.
Una vulnerabilidad de BIG-IP APM explotada activamente permite a atacantes remotos ejecutar código
Falla crítica CVE-2026-94127 en BIG-IP APM explotada activamente permite código remoto sin autenticación. Conoce versiones afectadas y cómo mitigarla.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.