先說結論：若 F5 BIG-IP APM 的同一虛擬伺服器同時套用存取政策與 OAuth 設定，維運者應優先核對 CVE-2026-94127。CERT-EU 九月二十二日依原廠公告指出這是可造成遠端程式執行的堆積記憶體溢位，F5 已觀察到實際利用；CISA 同日收錄 KEV。APM 是管理應用存取的模組，OAuth 是授權流程的標準；並非每台 BIG-IP 都符合這項配置條件。本文於十月四日重新查核 CERT-EU 與 CISA 官方來源，給出版本與應變判斷。
背景與前因：BIG-IP 常設在服務入口，處理應用流量及身分驗證，設備名稱相同也可能承載不同模組。這篇的焦點是 APM 的特定虛擬伺服器配置，而不是所有負載平衡功能。CERT-EU 安全公告於九月二十二日發布，區分受影響軟體、緊急熱修補及疑似受害調查。CISA 同日將 CVE 收入已知遭利用清單，提供處置優先級。兩份官方紀錄都不能替某家企業判斷其設備是否已遭攻擊；在發布這篇十月四日補刊時應清楚區分公告日期、查核日期與現場證據。
原因與前置條件：CERT-EU 描述的堆積記憶體溢位，是程式在動態配置的記憶體區域寫入超過預期資料，進而可能破壞執行流程。在這個案例，前置條件是 APM 存取政策與 OAuth 設定同時出現在虛擬伺服器上。公告評估其可能讓未登入攻擊者在受影響設備上執行程式；這是漏洞能力，不等於每台符合條件的設備已被操控。公開文章保留可供防守的配置條件與修補建議，不列請求內容、命令或可複製的攻擊方法。
影響範圍：CERT-EU 列出 BIG-IP APM 17.1.0 至 17.1.3、17.5.0 至 17.5.1，以及 21.1.0 等受影響系列，且必須核對是否搭配所述政策與 OAuth 設定。加拿大網安中心另列各系列對應的熱修補門檻，但不同建置和維護狀態仍應以 F5 當前下載與支援紀錄為準。對多節點叢集，不能只讀一台管理節點版本；須逐個確認正在接流量的節點、設定套用與熱修補狀態。若不存在相應配置，應保留核對證據，不應把這篇的高風險結論直接套用。
這個事件至少有兩個需要分開閱讀的官方時間點。CERT-EU 在 2026-09-22 公開與 CVE-2026-94127 相關的產品資訊；CISA 於 2026-09-22 將同一編號收錄於已知遭利用漏洞目錄。後者又稱 KEV，是政府用來標示已有利用證據、應提高處置優先級的公開清單。收錄日期不等於漏洞首次出現，也不會替任何單一單位證明資產已被攻破。本文在 2026-10-04 重新取得兩份來源，將原始事件與本次查核日期分開標示。
風險判斷應回到具體產品與部署條件。官方公告只界定特定 APM 設定及版本的風險，沒有說所有 BIG-IP 裝置或每個 OAuth 登入失敗事件均代表遭到入侵。即使漏洞已列入 KEV，也不能把全球的利用證據直接寫成讀者所在環境的事件報告；相反地，沒有看到本地告警同樣不足以保證從未有人嘗試存取。應先確認自己是否真正使用 設有存取政策與 OAuth 設定的 F5 BIG-IP APM 虛擬伺服器，再把版本、可達性、服務角色和可用的紀錄放在同一個判斷框架內，避免只憑產品名稱或嚴重度分數作結論。
你可以怎麼做：先從資產清單找出提供 APM 的 BIG-IP，逐一確認虛擬伺服器是否同時具有存取政策與 OAuth 設定，再記錄軟體版本、熱修補狀態與公開可達性。依 F5 支援資訊安排對應修補，更新前保存設定與日誌，更新後在每個節點回讀版本並測試登入與正常流量。CERT-EU 建議若修補無法立刻完成，可與 F5 支援確認暫時緩解，不要把未經驗證的網路規則稱為已解決。若懷疑遭利用，先保全 APM、稽核與系統紀錄，交由授權應變團隊比對時間線，再決定隔離與復原順序。
盤點時可以把每一個APM 虛擬伺服器寫成可追蹤的一列：產品與型號、目前版本、部署位置、管理責任人、對外或對內的可達性、資料最後確認時間，以及是否另有備援、測試或長期離線的副本。集中管理平台的清單可能漏掉尚未回報的設備，資產標籤也可能與實際運行版本不同；因此重要節點應由現場或受信任的管理介面再核對。把例外與期限記在同一份紀錄，比口頭說『都已檢查』更能支援後續複查。
修補完成的判斷不能只停在工單或下載紀錄。安排BIG-IP APM 熱修補之前，先按既有維運程序保存必要設定、確認支援與相容性，並準備回復方案；完成後從實際提供服務的節點讀取版本或修補狀態，測試最重要的正常工作流程。若同一服務有多個節點，應逐一驗證，避免流量切換後又落回未更新的副本。原廠日後可能更改修補路徑，本文記錄的是本次查核時可取得的官方資訊，更新工作仍應以最新公告為準。
事件應變和版本更新雖然相關，卻不是同一個檢查。版本落後足以支持儘快修補，未必證明曾遭利用；完成更新降低後續暴露，也不能倒推過去絕無異常。若既有監控出現可疑跡象，應保存原始日誌、時間線及必要的組態差異，交由有權限的資安或維運人員依組織流程判讀。公開文章不應包含任何真實憑證、個資、內部位址或可操作的利用步驟，以免在通報風險時增加新的暴露。
這起弱點有容易被忽略的設定前提：版本落在公告範圍，仍需檢查同一虛擬伺服器的兩項配置。CERT-EU 提醒注意異常 OAuth 驗證失敗、稽核紀錄與 TMM 異常退出的關聯；TMM 是 BIG-IP 的流量處理程序。單一錯誤紀錄不足以證明入侵，也不應因沒有某一種紀錄就宣布安全。實務上應先確認日誌是否完整，再以設定變更、登入事件、設備狀態交叉分析。本文不重製原廠可操作的檢測命令或細節，讓維運者依組織既有流程及原廠文件處理。
仍須由使用單位自行回答的問題是：目前有多少APM 虛擬伺服器、哪些仍在受影響版本、BIG-IP APM 熱修補是否覆蓋正式與備援環境，以及保留的紀錄能否支持事件調查。CERT-EU 與 CISA 的公開資料提供產品界線和優先處置訊號，卻不能替每個現場完成資產盤點。若無法取得相應修補或環境已停止安全支援，應向供應商確認替代方案並記錄風險處置，不把臨時隔離措施描述成漏洞已經修復。
這篇補刊聚焦 CVE-2026-94127，原廠事件日期為 2026-09-22，CISA KEV 收錄日為 2026-09-22，兩個官方來源在 2026-10-04 重新查核。可交付的工作是確認 設有存取政策與 OAuth 設定的 F5 BIG-IP APM 虛擬伺服器 的實際部署範圍、按原廠指引完成BIG-IP APM 熱修補、回讀結果並追蹤例外。公開公告支持修補優先級，並不等於任一特定讀者已遭入侵或資料外洩；最終影響仍須由現場證據和專業調查判定。
官方來源：
- Critical Vulnerability in F5 BIG-IP APM — Security Advisory 2026-013（CERT-EU）
- Known Exploited Vulnerabilities Catalog — CVE-2026-94127（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。