31. März 2026 · Security-Advisory · F5

F5 BIG-IP APM: CVE-2025-53521 wird aktiv für Pre-Auth-RCE ausgenutzt

Die im Oktober 2025 als DoS gemeldete F5-Lücke CVE-2025-53521 ist als Pre-Auth-RCE eingestuft und wird aktiv ausgenutzt. Was Betreiber jetzt tun müssen.

Am 15. Oktober 2025 veröffentlichte F5 im Rahmen der Quartalsmitteilung (K000156572) die Schwachstelle CVE-2025-53521 im BIG-IP Access Policy Manager (APM) – damals als Denial-of-Service eingestuft. Im März 2026 wurde die Lücke neu bewertet: Es handelt sich tatsächlich um eine ohne Authentifizierung ausnutzbare Remote-Code-Execution (Pre-Auth-RCE), laut F5 mit einem CVSS-v4-Wert von 9,3. Seitdem wird sie aktiv ausgenutzt. In Presseberichten dokumentierte Angriffsketten umfassen die Codeausführung über den APM-Dienst, den anschließenden Missbrauch der iControl-REST-Schnittstelle sowie das Ablegen von – überwiegend speicherresidenten – Webshells auf kompromittierten Geräten.

Die US-Behörde CISA hat die Schwachstelle am 27. März 2026 in den KEV-Katalog der aktiv ausgenutzten Schwachstellen aufgenommen und US-Bundesbehörden eine Frist bis zum 30. März gesetzt – drei Tage, ein ungewöhnlich enges Zeitfenster, das die Dringlichkeit unterstreicht. Das BSI warnt mit der Meldung 2026-238368-1032. Angesichts der großen Zahl aus dem Internet erreichbarer BIG-IP-Systeme ist von einer breiten Angriffsfläche auszugehen.

Zur Einordnung: Im Oktober 2025 hatte F5 einen Einbruch in die eigene Entwicklungsumgebung eingeräumt, bei dem Quellcode und Informationen zu nicht veröffentlichten Schwachstellen abflossen. Die jetzige Ausnutzung einer zunächst harmlos eingestuften Lücke ist genau die Konkretisierung des Risikos, vor dem seither gewarnt wurde: Angreifer, die F5-Interna kennen, können Schwachstellen schneller und tiefer bewerten als der öffentliche Kenntnisstand.

Wer ist betroffen

Betroffen sind BIG-IP-Systeme der Versionszweige 15.1 bis 17.5, auf denen das APM-Modul im Einsatz ist – typischerweise für SSL-VPN, Remote Access und Single Sign-on, also gerade die Systeme, die konstruktionsbedingt aus dem Internet erreichbar sind. F5 stellt fehlerbereinigte Versionen bereit: 17.5.1.3, 17.1.3, 16.1.6.1 und 15.1.10.8.

Wenn Sie nicht sicher sind, ob APM auf Ihren BIG-IPs provisioniert ist oder welche Zugriffsrichtlinien exponiert sind, ist genau das die erste Frage, die Sie heute klären sollten.

Was jetzt zu tun ist

  • Sofort patchen auf 17.5.1.3, 17.1.3, 16.1.6.1 bzw. 15.1.10.8 – die Lücke wird aktiv ausgenutzt, ein reguläres Wartungsfenster ist hier die falsche Kategorie.
  • Keinen Workaround erwarten: Laut BSI gibt es keine wirksame Übergangslösung. Wer nicht sofort patchen kann, sollte die Erreichbarkeit betroffener APM-Portale so weit wie möglich unterbinden und das System bis zum Update als gefährdet behandeln.
  • Exposition reduzieren: Management-Interfaces gehören grundsätzlich nicht ins Internet; APM-Portale nur so weit erreichbar machen, wie es der Anwendungsfall zwingend erfordert.
  • Kompromittierung prüfen, nicht nur patchen: F5 stellt mit K000160486 eine Anleitung zur Prüfung auf Kompromittierungsindikatoren bereit. Da die beobachteten Webshells überwiegend speicherresident arbeiten, reicht ein Blick ins Dateisystem nicht aus – jeder länger ungepatchte, exponierte Bestand ist als potenziell kompromittiert zu behandeln.
  • Bei Befund: Incident-Response-Prozess starten, Gerät forensisch sichern, auf dem Gerät hinterlegte Zertifikate und Zugangsdaten rotieren.

Wie sector7 unterstützt

Als inhabergeführtes Systemhaus mit F5-Zertifizierung übernehmen wir Bewertung, Patch-Planung und Kompromittierungsprüfung Ihrer BIG-IP-Umgebung – auch kurzfristig. Unser 24/7-NOC-Monitoring erkennt Anomalien auf Netz- und Sicherheitsinfrastruktur, bevor sie zum Vorfall werden. Das Ganze zu festen Monatspreisen, ohne Überraschungen im Ernstfall.

Quellen

Sprechen wir über Ihre Situation.

Gespräch vereinbaren +49 212 240915 0