F5 remediază vulnerabilități critice de securitate

F5 a publicat notificarea trimestrială privind securitatea pentru februarie 2026, anunțând mai multe CVE-uri cu grad de severitate mediu și scăzut, plus o problemă de securitate ce afectează BIG-IP, NGINX și serviciile de containere.

Aceste probleme provin în principal din atacuri de tip denial-of-service (DoS) și din erori de configurare, ce pot perturba mediile cu trafic intens, cum ar fi firewall-urile pentru aplicații web (WAF) și Kubernetes ingress.

Deși nu au fost raportate exploatări active, se recomandă aplicarea imediată a patch-urilor pentru implementările conectate la internet, pentru a reduce atacurile de tip DoS în lanț sau accesul neautorizat.

Cele 3 vulnerabilități care reprezintă amenințări DoS moderate, au primit scoruri CvSS de până la 8.2. Atacatorii ar putea suprasolicita serviciile de la distanță.

K000158072: BIG-IP Advanced WAF/ASM (CVE-2026-22548) afectează produsele BIG-IP Advanced WAF/ASM versiunile 17.1.0 – 17.1.2. Remedierile au fost introduse în versiunea 17.1.3.

K000159824: NGINX (CVE-2026-1642) afectează produsele NGINX Plus (R32-R36 P1), Open Source (1.3.0-1.29.4), Ingress Controller (5.3.0-5.3.2; 4.0.0-4.0.1; 3.4.0-3.7.1), Gateway Fabric (2.0.0-2.4.0; 1.2.0-1.6.2), Instance Manager (2.15.1-2.21.0.

K000157960: BIG-IP CIS (CVE-2026-22549) afectează produsele BIG-IP Container Ingress Services (Kubernetes/OpenShift) versiunile 2.0.0-2.20.1; 1.0.0-1.14.0. Remedierile au fost introduse în versiunea 2.20.2; 2.20.1 (Helm 0.0.363).

CVE-2026-1642 afectează ecosistemul NGINX în ansamblu, permițând atacuri DoS adiacente rețelei prin cereri malițioase. Vulnerabilitățile WAF/ASM și CIS vizează serviciile containerizate ale F5, riscând întreruperi în cloud-urile hibride.

Vulnerabilitățile cu risc mai mic se concentrează pe atacuri locale sau adiacente:

K000158931: BIG-IP Edge Client (CVE-2026-20730) afectează produsele BIG-IP APM (21.0.0; 17.5.0-17.5.1; etc.); APM Clients versiunile 17.1.3.13; 7.2.6.2. Remedierile au fost introduse în versiunea 17.1.3.13, 7.2.6.2.

K000156644: BIG-IP Config Utility (CVE-2026-20732) afectează produsele BIG-IP (toate modulele) versiunile 17.5.1.4; 17.1.3.1. Remedierile au fost introduse în versiunea 17.5.1.4, 17.1.3.1.

Edge Client necesită activarea actualizării componentelor după upgrade. O vulnerabilitate a utilitarului de configurare permite escaladarea privilegiilor locale.

Acordați prioritate CVE-urilor cu severitate moderată în configurațiile NGINX-heavy. Scanați versiunile afectate (numai pre-EoTS), aplicați remedieri prin iHealth sau Helm pentru CIS. Testați în etapa de pregătire pentru a evita întreruperile.

Sursă: https://cybersecuritynews.com/f5-patches-critical-vulnerabilities/