F5의 네트워크 접근 제어 솔루션인 BIG-IP APM(Access Policy Manager)에서 로그인 없이도 원격으로 시스템을 장악할 수 있는 심각한 제로데이(패치가 나오기 전에 이미 공격에 쓰인) 취약점(CVE-2026-94127)이 발견됐습니다. 위험도 점수가 최고 수준(9.8점)이며, 실제 공격이 진행 중임이 확인돼 미국·유럽·캐나다 보안 당국이 즉시 패치를 권고했습니다. 주의할 점은 관리 페이지를 내부망으로 막아둬도, OAuth 인증 서버 기능을 켜둔 가상 서버가 외부에 열려 있다면 공격에 노출된다는 것입니다. F5는 긴급 핫픽스와 임시 우회 조치(iRule)를 제공하고 있으며, 이미 시스템이 외부에 노출됐던 경우라면 패치 후 침해 여부도 반드시 확인해야 합니다.
F5 BIG-IP APM의 힙 기반 버퍼 오버플로 취약점(CVE-2026-94127)이 제로데이로 실제 악용 중이며, 공격자는 인증 없이 특수 트래픽만으로 임의 코드를 원격 실행할 수 있다.
CVSS v3.1 9.8점의 치명적 등급으로, 영향을 받는 BIG-IP APM 버전(17.1.x, 17.5.x, 21.1.0)을 OAuth 인증 서버로 운영 중인 조직이 대상이다. CISA KEV 등재로 미국 연방기관은 긴급 대응 의무가 발생했다.
BIG-IP APM이 OAuth 인증 서버 프로파일과 APM 접근 정책을 동일 가상 서버에서 동작할 때 메모리 힙 영역을 잘못 처리하는 코드 결함이 원인이다.
F5는 버전별 엔지니어링 핫픽스(Hotfix-BIGIP-17.1.3.5, 17.5.1.9, 21.1.0.2)를 배포했으며, 즉시 적용이 어려운 경우 iRule 기반 임시 완화책을 지원팀을 통해 제공한다. CISA·CERT-EU·캐나다 CCCS가 신속 패치를 권고했다.
관리 인터페이스 차단만으로는 방어가 불충분하다. OAuth 인증 서버 프로파일 사용 여부를 먼저 확인하고, 해당된다면 핫픽스 적용 후 /var/log/apm의 반복 인증 실패 로그와 /var/log/audit의 의심 명령 실행 기록을 점검해 침해 흔적을 확인해야 한다.
본문
F5의 BIG-IP Access Policy Manager(APM)에서 인증 없이 원격 코드 실행이 가능한 치명적 제로데이 취약점이 발견돼 실제 공격에 악용되고 있다. F5가 긴급 핫픽스를 공개했으며 미국과 유럽, 캐나다 보안 당국도 즉각적인 대응을 권고했다.
취약점은 CVE-2026-94127로, 메모리의 힙 영역을 잘못 처리하는 힙 기반 버퍼 오버플로 문제다. CVSS v3.1 기준 위험도는 최고 수준에 가까운 9.8점, CVSS v4.0 기준 9.3점이다. 공격자가 별도의 계정이나 인증 없이 특수하게 조작한 트래픽을 전송해 취약한 BIG-IP 장비에서 임의 코드를 실행할 수 있다. F5는 해당 취약점이 실제 공격에 악용되고 있다는 사실을 확인했다.
다만 모든 BIG-IP APM 시스템이 영향을 받는 것은 아니다. F5가 내용을 업데이트하면서 확인된 정확한 조건은 BIG-IP APM이 OAuth 인증 서버로 동작하면서, 동일한 가상 서버에 APM 접근 정책과 OAuth 인증 서버 프로파일이 설정된 경우다. APM을 OAuth 클라이언트나 리소스 서버 용도로만 사용하는 환경은 영향을 받지 않는다.
영향을 받는 버전은 BIG-IP APM 17.1.017.1.3, 17.5.017.5.1, 21.1.0이다. F5는 각각 Hotfix-BIGIP-17.1.3.5.0.41.14-ENG, Hotfix-BIGIP-17.5.1.9.0.160.12-ENG, Hotfix-BIGIP-21.1.0.2.0.30.22-ENG 엔지니어링 핫픽스를 제공하고 있다. 기술지원이 종료된 EoTS 버전은 F5가 취약 여부를 평가하지 않았기 때문에 안전하다고 볼 수 없다.
이번 취약점은 특히 관리 인터페이스가 아니라 실제 서비스 트래픽을 처리하는 데이터 플레인에서 발생한다는 점에 주의해야 한다. 따라서 BIG-IP 관리 페이지를 내부망으로 제한하거나 외부 접근을 차단했더라도 취약한 OAuth 가상 서버가 외부에 노출돼 있다면 공격을 막을 수 없다. 보안 강화를 위해 사용되는 BIG-IP의 Appliance 모드 역시 취약하다.
미국 사이버보안 및 인프라보안국(CISA)은 9월 22일 해당 취약점을 실제 공격에 악용된 취약점 목록인 KEV(Known Exploited Vulnerabilities) 카탈로그에 추가했다. 이에 따라 미국 연방 민간기관은 긴급 대응 대상 취약점으로 처리해야 한다. 유럽연합 CERT-EU와 캐나다 사이버보안센터(CCCS)도 별도의 보안 경보를 발표하고 신속한 패치를 권고했다.
F5는 즉시 핫픽스를 적용하기 어려운 환경에 대해 해당 가상 서버에 적용할 수 있는 iRule 기반 임시 완화책을 제공하고 있으며, 이를 사용하려면 F5 지원팀에 문의해야 한다. CERT-EU는 패치에 앞서 포렌식 증거를 보존하고, 핫픽스 적용 후 침해 흔적(IoC)을 점검할 것을 권고했다.
침해 여부를 확인할 때는 /var/log/apm에서 "The access token is invalid." 오류가 짧은 시간 동안 반복적으로 발생했는지 살펴볼 필요가 있다. 특히 동일 IP에서 10회 이상 연속 발생한 경우 주의가 요구된다. tmctl global_oauth_stat 명령을 이용해 total_failed 값이 비정상적으로 증가했는지도 확인해야 한다.
또 OAuth 인증 실패가 발생한 시점 전후로 /var/log/audit에서 의심스러운 명령 실행 기록이 있는지 살펴봐야 한다. F5는 TMM 프로세스가 비정상 루프에 빠져 SOD 데몬이 SIGABRT를 발생시킨 사례도 확인했다. 다만 TMM 코어 파일 존재 자체만으로 공격을 확정할 수는 없으며, OAuth 오류와 명령 실행 기록 등을 함께 분석해야 한다.
현재까지 F5와 각국 보안 당국은 공격 주체와 피해 조직, 실제 침해된 시스템 규모를 공개하지 않았다. 공개된 정보만으로 특정 국가나 해킹그룹의 공격으로 단정할 근거도 없다.
기업과 기관은 우선 BIG-IP APM에서 OAuth 인증 서버 프로파일을 사용하고 있는지 확인하고, 해당된다면 F5가 제공한 핫픽스를 최우선으로 적용해야 한다. 이미 취약 시스템이 인터넷에 노출돼 있었다면 단순 패치에 그치지 말고 APM·감사 로그와 시스템 변경 내역을 함께 점검해 기존 침해 여부를 확인하는 것이 필요하다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
