F5 BIG-IP APM: חולשת השבתה הוגדרה מחדש כהרצת קוד מרחוק, והיא מנוצלת, לפי CISA ו-F5
ב-27 במרץ 2026 הוסיפה CISA לקטלוג החולשות המנוצלות את CVE-2025-53521. F5 הגדירה אותה מחדש כהרצת קוד מרחוק, בציון CVSS v4 של 9.3, ופרסמה סימנים לחדירה.
TL;DR בקצרה
- CISA הוסיפה ב-27 במרץ 2026 את CVE-2025-53521 ב-F5 BIG-IP APM לקטלוג, והורתה לגופים פדרליים בארה״ב לתקן עד 30 במרץ.
- F5 חשפה את החולשה באוקטובר 2025 כהשבתה, והגדירה אותה מחדש כהרצת קוד מרחוק בציון 9.3 לפי מידע חדש ממרץ 2026.
- לפי F5, ה-web shell פועל לפעמים בזיכרון בלבד, ולכן בדיקת קבצים לבדה עלולה לפספס חדירה.
- התיקונים: 17.5.1.3, 17.1.3, 16.1.6.1 ו-15.1.10.8, ולפי Arctic Wolf התיקונים מאוקטובר 2025 כבר סוגרים את הפרצה.
CISA הוסיפה ב-27 במרץ 2026 חולשה ב-F5 BIG-IP APM לקטלוג החולשות המנוצלות. הפרצה, CVE-2025-53521, נראתה בתחילה כחולשת השבתה. עכשיו F5 מגדירה אותה כהרצת קוד מרחוק. לפי F5, תוקפים מנצלים אותה בפועל.
F5 BIG-IP APM: מהשבתה להרצת קוד מרחוק
F5 חשפה את החולשה באוקטובר 2025 כחולשת השבתה, DoS, עם ציון CVSS v4 של 8.7. במרץ 2026 היא קיבלה, לדבריה, מידע חדש. אז היא הגדירה מחדש את הפרצה כהרצת קוד מרחוק, RCE, והציון עלה ל-9.3.
הפרצה פועלת כשמדיניות גישה של APM מוגדרת על שרת וירטואלי. אז תעבורה זדונית מסוימת עלולה להריץ קוד על המכשיר. APM הוא רכיב של BIG-IP לגישה מרחוק ולהתחברות לאפליקציות. לכן הוא עומד לרוב מול האינטרנט.
F5 עדכנה את ההמלצה שלה כדי לאשר ניצול של הפרצה בגרסאות פגיעות. היא לא פירטה מי התוקפים, לפי The Hacker News.
איך לבדוק חדירה ל-F5 BIG-IP APM
F5 פרסמה סימנים לחדירה. בקבצים, חפשו את /run/bigtlog.pipe או את /run/bigstart.ltm. בדקו גם אם הגיבוב, הגודל או חותמת הזמן של /usr/bin/umount ושל /usr/sbin/httpd שונים מגרסה תקינה.
ביומנים, חפשו רשומה ב-restjavad-audit שבה משתמש מקומי פונה ל-iControl REST מ-localhost. חפשו גם רשומה ב-auditd שבה משתמש מקומי מכבה את SELinux דרך אותו ממשק.
בתעבורה, חפשו תגובות HTTP 201 עם סוג התוכן CSS שיוצאות מהמכשיר. לפי F5, התוקפים משתמשים בהן כדי להסתיר את הפעילות.
יש כאן אזהרה חשובה. F5 מציינת שה-web shell פועל לפעמים בזיכרון בלבד. לכן קבצים שלא השתנו לא מוכיחים שהמכשיר נקי.
מי חשוף ומה העדכון
הפרצה משפיעה על ארבעה ענפים. בענף 17.5 צריך להתקין 17.5.1.3, ובענף 17.1 צריך 17.1.3. בענף 16.1 הגרסה היא 16.1.6.1, ובענף 15.1 היא 15.1.10.8. לפי Arctic Wolf, התיקונים שיצאו באוקטובר 2025 כבר סוגרים את וקטור ההרצה.
Arctic Wolf מסבירה שהפרצה יושבת בשכבת הנתונים. שרתים וירטואליים של APM שחשופים לאינטרנט בסיכון הגבוה ביותר. היא לא מצאה קוד ניצול ציבורי, אבל מצפה לניצול אופורטוניסטי.
Defused Cyber דיווחה על סריקות אינטנסיביות אחרי ההוספה לקטלוג. הסורק פנה לנקודת REST שמחזירה שם מארח, מזהה מכונה וכתובת MAC בסיסית.
Benjamin Harris, מנכ״ל watchTowr, הסביר למה זה חמור. כשהחולשה הופיעה כהשבתה, מנהלי מערכות רבים לא מיהרו לתקן. הוא אמר ל-The Hacker News שהסיכון עכשיו אחר לגמרי ממה שעלה מההודעה הראשונה.
מה קרה מאז: ב-8 באפריל 2026 דיווחה ThaiCERT על מעל 14,000 מערכות APM חשופות לאינטרנט, לפי Shadowserver. הדיווח מסתמך על Security Affairs, ולדבריו מערכות רבות עדיין לא תוקנו.
מה זה אומר עבורכם
- בדקו אם אתם חשופים: אם יש לכם BIG-IP עם APM, בדקו את הגרסה מול הרשימה. התקינו את הגרסה המתוקנת.
- חפשו חדירה: בדקו את הקבצים, היומנים והתעבורה שהוזכרו, גם אם כבר עדכנתם. עדכון לא מוכיח שאין חדירה קיימת.
- אל תסמכו על בדיקת קבצים בלבד: web shell בזיכרון עלול לא לשנות קבצים. בדקו גם את sys-eicheck, כי כשל שלו הוא אחד הסימנים ש-F5 פרסמה.
- צמצמו חשיפה: אם אין צורך בגישה מהאינטרנט, הגבילו אותה. שרתי APM חשופים הם היעד העיקרי.
- תקנו מהר גם חולשות השבתה: הסיפור הזה מראה שסיווג ראשוני יכול להשתנות. עדכנו מכשירי קצה גם כשהציון נראה נמוך.
מקורות והרחבה
- CISA Adds One Known Exploited Vulnerability to CatalogCISA
- CISA Adds CVE-2025-53521 to KEV After Active F5 BIG-IP APM ExploitationThe Hacker News
- Arctic Wolf Security Bulletin: CVE-2025-53521Arctic Wolf
- Over 14,000 F5 BIG-IP APM Systems Exposed Online, at Risk of RCE AttacksThaiCERT
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
