F5 menerbitkan advisori pada 22 September soal CVE-2026-94127, celah dengan skor CVSS 9.8 yang memungkinkan penyerang tanpa autentikasi menjalankan kode arbitrer di sistem BIG-IP Access Policy Manager. F5 tidak sekadar memberi peringatan. Perusahaan menyatakan exploitasinya sudah teramati di dunia nyata.
Celahnya hanya menyasar deployment yang memakai access policy sekaligus profil OAuth pada virtual server, ketika APM dikonfigurasi sebagai OAuth Authorization Server. APM yang hanya berfungsi sebagai OAuth Client atau Resource Server tidak terdampak. Versi rentan: BIG-IP 17.1.0 sampai 17.1.3, 17.5.0 sampai 17.5.1, serta 21.1.0. Mode Appliance juga kena karena masalahnya ada di data plane, bukan control plane. Hotfix sudah tersedia untuk tiap cabang.
CISA langsung memasukkan celah ini ke katalog Known Exploited Vulnerabilities dan memberi tenggat 25 September untuk lembaga federal. Shadowserver meanwhile memetakan lebih dari 14.700 alamat IP yang memunculkan sidik jari BIG-IP APM di internet, meski angka itu belum menunjukkan berapa sistem yang benar-benar belum ditambal.
Dua Celah Lain di Katalog yang Sama
Pekan yang sama, CISA memasukkan dua kelemahan lain. Pertama, CVE-2026-65660 pada Microsoft SharePoint dengan skor 8.8, injeksi kode yang awalnya hanya dideskripsikan sebagai spoofing lalu diperbarui menjadi remote code execution. Kedua, CVE-2026-67279 pada MikroTik RouterOS bernilai 6.9, dirangkai bersama CVE-2026-86060 dalam exploit bernama MikroTrick. Gabungan keduanya memberi akses penuh tanpa autentikasi ke konsol administrator.
Pelajaran yang sama untuk tim TI. Patch management tidak bisa dipisah dari penanganan insiden. Kelemahan yang sudah dipakai pelaku harus diperlakukan sebagai prioritas, bukan sebagai pekerjaan rutin mingguan.