F5 BIG-IP APM: Zero-Day mit Höchstwertung – und was das über Ihren Patch-Prozess sagt
Es gibt Sicherheitslücken, die keine Zeit für eine Gremiensitzung lassen. Am 22. September 2026 hat F5 eine Zero-Day-Lücke in BIG-IP Access Policy Manager (APM) gemeldet, die bereits aktiv ausgenutzt wird. Das BSI bewertet sie mit der höchsten Kritikalitätsstufe und rät zur zeitnahen Installation der bereitgestellten Hotfixe. Solche Tage trennen Unternehmen, die einen Notfallprozess haben, von denen, die ihn erst an diesem Tag entwerfen.
Was tatsächlich passiert ist
Der Hersteller veröffentlichte am 22. September 2026 ein Advisory zu einer ausgenutzten Schwachstelle in BIG-IP APM, dem Modul für Zugriffssteuerung und Anwendungszugriff. Die Lücke mit der Kennung CVE-2026-94127 erlaubt nach Herstellerangaben einem entfernten, nicht authentifizierten Angreifer die Ausführung von Code auf APM-Appliances – bewertet mit 9,8 von 10 („kritisch"). Ursache ist nach Angaben der Cybersicherheitsagentur Baden-Württemberg ein Pufferüberlauf.
Betroffen sind laut BSI und Hersteller die Versionen 21.1.0, 17.5.0 bis 17.5.1 sowie 17.1.0 bis 17.1.3 – aber nur, wenn auf einem virtuellen Server eine Access Policy und ein OAuth-Profil konfiguriert sind und BIG-IP APM als OAuth Authorization Server arbeitet. Systeme im Appliance-Modus seien ebenfalls verwundbar. F5 betont, es handle sich um ein Problem der Daten-, nicht der Management-Ebene. Das Unternehmen habe die Schwachstelle intern entdeckt und wisse, dass sie ausgenutzt wurde; es veröffentlichte drei Kompromittierungsindikatoren (IoC). Ein öffentlicher Proof of Concept war zum Zeitpunkt der Veröffentlichung nicht bekannt. Parallel setzte die US-Behörde CISA die Lücke auf die Liste bekannter ausgenutzter Schwachstellen.
Meine Einordnung
Angriffe auf die Geräte, die selbst den Zugang kontrollieren, sind besonders unangenehm. BIG-IP APM ist genau so ein Torwächter: Es entscheidet, wer auf welche Anwendung darf. Wenn dort nicht authentifizierte Code-Ausführung möglich ist, steht der Angreifer nicht an einer Tür, sondern in der Schaltzentrale. Deshalb ist die Einordnung „kritisch" und nicht „hoch" richtig.
Die naheliegende Reaktion lautet: „Wir sind zu klein, das betrifft uns nicht." Das halte ich für den gefährlichsten Fehlschluss. Solche Zugangs- und SSO-Systeme sitzen genau dort, wo Mittelständler Fernzugriff, Heimarbeit und zentrale Anmeldung organisieren – häufig in kleineren Installationen, oft über einen Dienstleister betrieben, selten aktuell gepatcht. In Mandaten sehe ich immer wieder, dass die Perimeter-Geräte die ältesten Versionsstände im Haus haben: Sie laufen, niemand fasst sie an, und der Betrieb hängt an einer Person. Genau diese Kombination macht eine Lücke mit CVSS 9,8 zum Betriebsrisiko.
Der zweite Punkt ist unabhängig vom konkreten Hersteller. Die eigentlich wertvolle Frage an so einem Tag ist nicht „Sind wir betroffen?", sondern „Wie schnell wüssten wir das, und wer entscheidet nachts?" Wer erst Inventar erheben muss, um zu prüfen, ob ein Gerät im Einsatz ist, hat schon Zeit verloren. Und wer nach dem Patch nicht prüft, ob es Auffälligkeiten gab, hat nur die halbe Arbeit gemacht. Für Betriebe im Münchner Umland gilt das gleiche wie für große Häuser: Ein Patch ist eine Maßnahme, ein Nachweis ist der eigentliche Wert.
Was Sie jetzt konkret tun können
1. Prüfen Sie, ob BIG-IP APM bei Ihnen im Einsatz ist und ob eine Access Policy mit OAuth-Profil konfiguriert wurde. Wenn nicht: Lücke abhaken und dennoch den Anbieterstand aller Perimeter-Geräte erfassen.
2. Spielen Sie versionsgenau den passenden Hotfix ein – oder wenden Sie die vom Hersteller beschriebenen temporären Gegenmaßnahmen an, bis das geht.
3. Prüfen Sie die veröffentlichten Kompromittierungsindikatoren und schauen Sie in relevante Logs der vergangenen Wochen, statt nur nach vorne zu patchen.
4. Inventarisieren Sie exponierte Zugangs- und Fernwartungsflächen. Sie können nur patchen, was Sie kennen.
5. Legen Sie fest, wer kritische Lücken außerhalb der Geschäftszeiten freigibt. Ohne diese Entscheidung wartet der Patch bis Montag.
Wenn Sie solche Systeme nicht vollständig im Blick haben, ist das kein Vorwurf – es ist der Normalfall. Genau dort setzt IT-Security an: erst Inventar und Prozess, dann Technik. Ich gehe mit Ihnen die IT-Infrastruktur und den Patch-Prozess durch, bevor die nächste kritische Lücke kommt.
Quellen
- Bundesamt für Sicherheit in der Informationstechnik (BSI), „F5 BIG-IP APM – Aktive Ausnutzung einer Zero-Day Schwachstelle", 22.09.2026 — https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-289024-1032.html
- SecurityWeek, „Critical F5 BIG-IP Vulnerability Exploited as Zero-Day", 23.09.2026 — https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/
- Cybersicherheitsagentur Baden-Württemberg, „F5 BIG-IP APM mit Zero-Day-Schwachstelle", 23.09.2026 — https://portal.cybersicherheit-bw.de/berichte/f5-big-ip-apm-mit-zero-day-schwachstelle
Häufige Fragen
Betrifft die Lücke auch reine VPN-Nutzung von BIG-IP?
Nach Herstellerangaben ist die Voraussetzung enger: Es müssen eine Access Policy und ein OAuth-Profil auf einem virtuellen Server konfiguriert sein und APM als OAuth Authorization Server arbeiten. Ob das bei Ihnen zutrifft, klärt ein Blick in die Konfiguration. Im Zweifel behandeln Sie es als betroffen.
Wir haben kein BIG-IP – müssen wir trotzdem handeln?
Nicht diese Lücke. Der Fall ist aber ein guter Anlass, Ihre eigenen Perimeter- und Fernwartungsgeräte zu überprüfen: Versionsstände, Verantwortlichkeit und Patch-Prozess. Dieselbe Frage trifft Sie beim nächsten Hersteller.
Reicht es, den Hotfix einzuspielen?
Für die Zukunft ja, für die Vergangenheit nicht zwingend. Weil die Lücke laut Hersteller bereits ausgenutzt wurde, gehört die Auswertung der Kompromittierungsindikatoren und Logs dazu. Sonst wissen Sie nur, dass die Tür wieder zu ist – nicht, ob jemand schon drin war.
Eigene Einordnung, keine Rechtsberatung. Quellen: Bundesamt für Sicherheit in der Informationstechnik (BSI), „F5 BIG-IP APM – Aktive Ausnutzung einer Zero-Day Schwachstelle", 22.09.2026 — https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-289024-1032.html · SecurityWeek, „Critical F5 BIG-IP Vulnerability Exploited as Zero-Day", 23.09.2026 — https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/ · Cybersicherheitsagentur Baden-Württemberg, „F5 BIG-IP APM mit Zero-Day-Schwachstelle", 23.09.2026 — https://portal.cybersicherheit-bw.de/berichte/f5-big-ip-apm-mit-zero-day-schwachstelle