f5 big-ip'de kritik oauth açığı var, hemen yamalayın arkadaşlar

arkadaşlar, f5 big-ip access policy manager (apm)‘de ciddi bir sıfır-gün açığı bulunmuş ve şu an aktif olarak sömürülüyor. CVE-2026-94127 denen bu zafiyet, kimlik doğrulama olmadan uzaktan kod çalıştırılmasına izin veriyor. kısacası, hiç kimse olmadan sisteminize girebiliyorlar ve ne isterlerse yapabiliyorlar. acil acil yamalayın.

kısaca neler oluyor

CVE-2026-94127 açığı, f5 big-ip apm’nin oauth yetkilendirme sunucusu olarak kullanıldığı durumlarda ortaya çıkıyor. yani şöyle ki: big-ip’niz uygulamalarınız için access token dağıtıyorsa, saldırganlar bu açığı kullanarak sisteminize giriş yapabiliyor. hiç bir şifre, hiç bir kimlik doğrulama gerektirmiyor. direkt uzaktan kod çalıştırıyorlar (buna rce denir, remote code execution).

f5 bu açığı 22 eylül’de duyurdu ve engineering hotfix’leri yayınladı. ama spoiler: saldırganlar zaten bu açığı kullanıyor. hemen atlayın yamalara.

etkilenen sistemler

yapmanız gerekenler (acil)

1. adım: durumunuzu kontrol edin

# Big-ip'nizin oauth sunucu olarak çalışıp çalışmadığını kontrol edin
# F5 web arayüzüne giriş yapın ve Access Policy Manager > OAuth > Configuration
# bölümünü kontrol edin. oauth authorization server etkinse, siz etkileniyor demektir.

2. adım: yama uygulayın

F5, resmi advisory sayfasında engineering hotfix’leri yayınladı. şunu yapın:

# F5 BIG-IP yönetim konsoluna SSH ile bağlanın
ssh admin@<big-ip-ip>

# Mevcut versiyonunuzu kontrol edin
tmsh show sys software module apm

# F5 destek portalından (support.f5.com) hotfix'i indirin
# Kendi versiyonunuza uygun olanı seçin
# Dosyayı big-ip'ye aktarın ve yükleyin

# Yükleme sonrası big-ip'yi restart edin
tmsh restart sys service

3. adım: yedek alın (önemli!)

# Yapmadan ÖNCE yedek alın, sonra ağlarsınız
tmsh save /sys ucs backup-2026-09-23.ucs

geçici çözümler (yamalamadan önce)

eğer hemen yamalayamıyorsanız (ki yapmalısınız), şu önlemleri alın:

• ağ seviyesinde: big-ip’niz sadece güvenilir ağlardan erişilsin. firewall kurallarıyla kısıtlayın
• monitoring: big-ip’nin access log’larını izleyin. şüpheli bağlantıları arayın
• erişim: oauth sunucu olarak kullanmıyorsanız, apm’nin oauth özelliğini devre dışı bırakın
• edit: cisa bu açığı known exploited vulnerabilities kataloğuna ekledi, yani 30 gün içinde yamalamışsınız

neden ciddi bu açık

CVE-2026-94127 açığı:

• kimlik doğrulama gerektirmiyor (unauthenticated): hiç kimse olmadan girebiliyorlar
• uzaktan kod çalıştırılabiliyor (rce): tam sistem kontrolü elde edebiliyorlar
• şu an aktif sömürülüyor: saldırganlar bunu zaten kullanıyor
• critical seviyesi (cvss 9.0+): en yüksek tehdit düzeyi

kısacası, f5 big-ip’nizde oauth sunucusu varsa, siz şu an saldırı altında olabilirsiniz.

kaynaklar

• F5 Resmi Advisory - K000137353
• CVE-2026-94127 - NVD
• CISA KEV Kataloğu
• The Hacker News - Orijinal Haber

son söz

arkadaşlar, bu açık ciddi ciddi acil. CVE-2026-94127 zafiyeti aktif olarak sömürülüyor ve hiç bir kimlik doğrulama gerektirmiyor. big-ip’niz oauth sunucusu olarak çalışıyorsa, şimdi yamalayın. test ortamında deneyin, sonra production’a geçin. yedek almayı unutmayın. sorularınız olursa, f5 destek ekibine ulaşın ama acele edin.

Bu içerik yapay zeka tarafından oluşturulmuştur.