F5 BIG-IP APM に悪用済みの脆弱性。OAuth認可サーバーとして使う構成が対象、修正版かHotfixを

01発表されている事実

1. 2026年9月22日

   F5がアドバイザリ K000162605 を公開。悪用を確認

2. 2026年9月24日

   JPCERT/CCが注意喚起。watchTowr Labs が詳しい解析を公開しており、攻撃コードが出回って攻撃が広がるおそれがあると指摘

3. 2026年10月15日

   F5がアドバイザリを更新

APM 以外の BIG-IP のモジュール、BIG-IQ、F5OS、NGINX、F5 Distributed Cloud は影響を受けないとされています。

02影響を受ける会社

BIG-IP APM を、社外からの接続やシングルサインオンの認証基盤として使い、OAuth 認可サーバーの機能を有効にしている会社です。BIG-IP を負荷分散やWAF（Advanced WAF）だけに使っている場合は、今回の対象に入りません。ただし同じ機器で APM を使っていないか、設定を確かめてください。

03今すぐやること

1. 構成と版を確かめる。APM のアクセスポリシーと OAuth プロファイルが同じ仮想サーバーに付いているかを見ます。
2. 修正版かHotfixを当てる。すぐに当てられない場合は、F5サポートに iRule を依頼して緩和します。
3. 侵害の兆しを調べる。F5とJPCERT/CCは次を挙げています。修正後も確認してください。
   • /var/log/apm に、OAuth の UserInfo 要求の失敗（イベントID 01990004）が10回以上、特に同じIPアドレスから記録されていないか
   • 「tmctl global_oauth_stat -s total_requests,total_userinfo_requests,total_failed」で失敗数が説明のつかない形で増えていないか
   • 失敗が集中した時間帯の /var/log/audit
   • TMM のコアファイルの有無
4. 兆しがあれば専門家へ。F5は、OAuth の失敗の多発、不審なコマンド、TMM の異常終了が短い間に続いた場合は詳しく調べるべきだとしています。

04同じことを防ぐには

認証の入口になる機器は、社内のあらゆるシステムへの鍵を握っています。どの機能を有効にしているかを台帳にしておくと、今回のように「特定の構成だけが対象」という発表のときに、すぐ判断できます。