f5 big-ip apm'de sıfır-gün açığı ve aktif sömürüler başladı

arkadaşlar, f5 big-ip apm’de ciddi bir durum var. CVE-2025-XXXXX diye bilinen sıfır-gün açığı var ve şu anda aktif olarak sömürülüyor. yani kötü niyetli tipler şu an bunu kullanıyor, yamalı sistemleri hacklemek için. hemen atlayın güncellemelere, sonra ağlamayın.

durum ne peki?

f5 big-ip apm (access policy manager) ürününde uzaktan kod çalıştırma (rce) açığı bulunmuş. kısacası, saldırgan internet üzerinden doğrudan sisteme bağlanıp kodu çalıştırabiliyor. yani ağ üzerinden erişebilen birisi, big-ip’yi tamamen ele geçirebiliyor.

spoiler: bu açık şu an gerçek hayatta sömürülüyor. cisa ve f5 uyarı vermişler, yani durum ciddi.

teknik detaylar

• zafiyet türü: uzaktan kod çalıştırma (rce) ve sıfır-gün (zero-day)
• etkilenen ürün: f5 big-ip apm
• ciddiyet seviyesi: kritik 🔴
• sömürü durumu: aktif olarak sömürülüyor
• saldırı vektörü: ağ üzerinden (network), kimlik doğrulaması gerekmiyor

etkilenen sürümler

şimdi ne yapacaksınız:

1. acil: f5’in resmi yamasını indirin

f5 resmi olarak güvenlik güncellemesi yayınlamış. şunu yapın:

# Önce backup alın, ciddi ciddi
# (backup almadan hiçbir şey yapmayın, sonra bana sormayın)

# F5 portalına giriş yapın ve yeni sürümü indirin
# https://support.f5.com adresine gidin

# Mevcut sürümünüzü kontrol edin
tmsh show sys software image

2. güncelleme prosedürü

# Yeni imajı yükleyin
tmsh install sys software image /var/local/image_name.iso

# Reboot yapın (evet, sistem kapanacak)
tmsh reboot

edit: f5 resmi advisory’de spesifik sürüm numaralarını belirtmiş. o sayfaya bakın, doğru sürümü indirin.

3. test ortamında deneyin

dikkat: production’a doğrudan gitmeyin. test ortamında önce deneyin. eğer sıkıntı çıkarsa, sonra ağlarsınız.

geçici çözümler (yamalamaya kadar)

eğer hemen yamalayamıyorsanız (evet, bazen oluyor):

# 1. Big-IP'yi internetten izole edin (mümkünse)
# - Sadece güvenilir ağlardan erişime izin verin
# - WAF kuralları sıkılaştırın

# 2. Ağ firewall'unda şunları yapın:
# - Big-IP'ye gelen şüpheli trafiği blokla
# - Sadece gerekli portlara izin ver
# - Monitoring arttır

# 3. Log monitoring
# - Big-IP loglarını aktif olarak izleyin
# - Şüpheli aktiviteyi arayın

cisa ne diyor?

cisa bu açığı “aktif olarak sömürülüyor” kategorisine koymuş. yani:

• Saldırganlar bunu gerçekten kullanıyor
• Zamanınız sınırlı
• Diğer yama günlerine kadar beklemeyin
• Acil yamalayın

checklist (yapmanız gerekenler)

• f5 advisory’yi oku: https://support.f5.com
• Big-IP sürümünü kontrol et
• Backup al (çok önemli!)
• Test ortamında yama dene
• Bakım penceresi planla
• Production’da yama uygula
• Sonrasında logları kontrol et

edit: önemli notlar

• f5 big-ip apm genellikle kritik uygulamalar için kullanılır (veri tabanı erişimi, vpn, vs). bu yüzden yamalamak zor olabilir ama gerekli.
• eğer big-ip’niz internete açıksa, bu açık üzerinden direkt ele geçirilebilir. ciddi ciddi yapın.
• yedek almadan yapmayın, sonra ağlamayın.

kaynaklar

• F5 Resmi Advisory
• BleepingComputer - Haber
• CISA KEV Kataloğu

Bu içerik yapay zeka tarafından oluşturulmuştur.