F5 แจ้งช่องโหว่ร้ายแรงในระบบ BIG-IP Access Policy Manager (APM) ที่ทำให้แฮกเกอร์รันโค้ดจากระยะไกลได้โดยไม่ต้องล็อกอิน ช่องโหว่นี้มีชื่อว่า CVE-2026-94127 ระดับความรุนแรง 9.8 บน CVSS v3.1 กระทบระบบที่ใช้ APM เป็น OAuth authorization server ซึ่งออก token ให้แอปพลิเคชัน ผู้โจมตีสามารถส่ง traffic ไปยัง virtual server ที่ตั้งค่า APM และ OAuth profile ร่วมกันได้ ช่องโหว่นี้เกิดจาก buffer overflow ที่คล้ายกับช่องโหว่ในเดือนมีนาคม 2025 (CVE-2025-53521) ซึ่งมีการแก้ไขในเวอร์ชัน 17.1.3 และ 17.5.1.3 ผู้ใช้ควรอัปเดตเป็นเวอร์ชันที่มี hotfix สำหรับ APM 17.1, 17.5, 21.0 หรือใช้ iRule ชั่วคราว หากไม่สามารถอัปเดตได้ทันที ควรตรวจสอบ log ที่แสดง failed UserInfo requests และ TMM SIGABRT ซึ่งอาจบ่งชี้ถึงการโจมตี CISA ได้เพิ่มช่องโหว่นี้ใน KEV catalog และกำหนดให้หน่วยงานรัฐอัปเดตแพตช์ภายใน 3 วันหลังจากเปิดเผยข้อมูล ระบบที่ใช้ APM แบบ Appliance mode และไม่มีการจำกัดการเข้าถึง management interface ยังคงเสี่ยงต่อช่องโหว่นี้
สรุปด้วย MAF Local AI · เนื้อหาต้นฉบับเป็นของแหล่งข่าว