F5, OAuth 서버 비인증 RCE 제로데이(CVE-2026-94127)로 악용된 BIG-IP APM 긴급 패치 배포

한 줄 요약

F5 BIG-IP APM(기업 애플리케이션 접근을 제어하는 네트워크 보안 모듈)에서 로그인 없이 원격으로 시스템을 장악할 수 있는 심각한 취약점(CVE-2026-94127)이 발견되어 실제 공격에 악용되고 있습니다. 이 취약점은 APM이 OAuth(앱 간 인증 토큰을 발급하는 프로토콜) 인증 서버 역할을 하도록 설정된 시스템에서만 나타나며, 위험 점수가 10점 만점에 9.8로 최고 수준입니다. 미국 CISA(사이버보안·인프라보안국)는 실제 악용이 확인된 취약점 목록(KEV)에 이를 등재하고 연방 기관에 9월 25일까지 조치를 완료하도록 명령했습니다. F5는 버전별 핫픽스를 배포했으며, 즉시 설치가 어려운 경우 임시 대응책인 iRule을 F5 지원 티켓을 통해 받을 수 있습니다. 이미 공격받았을 가능성을 확인하려면 APM 로그의 반복 인증 실패, 감사 로그의 의심스러운 명령, TMM 프로세스의 비정상 종료(SIGABRT) 여부를 점검해야 합니다.

사건

F5 BIG-IP APM의 OAuth 인증 서버 기능에서 힙 기반 버퍼 오버플로우(CVE-2026-94127)가 발견되어 인증 없이 원격 코드 실행(RCE)이 가능한 상태로 실제 공격에 악용되고 있음. CVSS v3.1 기준 9.8점.

영향

공격자가 BIG-IP 시스템에 무인증으로 임의 코드를 실행할 수 있음. 관리 인터페이스 접근 제한이나 어플라이언스 모드도 방어 효과 없음. EOL(기술 지원 종료) 버전은 안전 여부조차 불명.

원인

APM과 OAuth 인증 서버 프로파일이 동일한 가상 서버에 구성된 경우, 해당 가상 서버로 특정 악성 트래픽을 전송하면 힙 메모리 오버플로우가 발생해 코드 실행으로 이어짐.

대응

F5가 17.1·17.5·21.1 브랜치별 엔지니어링 핫픽스를 배포함. 즉시 설치 불가 시 iRule 임시 조치를 F5 지원 티켓으로 요청 가능. CISA는 연방기관에 iRule 먼저 적용 후 최종 패치 설치를 지시. CERT-EU는 포렌식 증거 보존 → 핫픽스 적용 → 침해 징후 확인 → 인시던트 대응 순서를 권고.

실무 포인트

이전 취약점(CVE-2025-53521) 핫픽스를 이미 적용한 시스템도 APM이 OAuth 인증 서버로 동작한다면 새 핫픽스가 추가로 필요함. 핫픽스 설치가 공격자의 기존 접근권을 제거하는지는 F5·CISA·CERT-EU 모두 미확인이므로 침해 여부 점검이 필수.

본문

Swati Khandelwal · 2026년 9월 23일 · 취약점 / 네트워크 보안

공격자들이 F5 BIG-IP APM(Access Policy Manager, 접근 정책 관리자)의 심각한 결함을 악용해 로그인 없이 BIG-IP 시스템에서 코드를 실행하고 있다고 F5가 밝혔다.

이 결함(CVE-2026-94127)은 APM이 OAuth 인증 서버, 즉 애플리케이션에 액세스 토큰을 발급하는 역할로 동작하는 시스템에서만 영향을 받는다. F5는 9월 22일 보안 권고문을 공개하고 엔지니어링 핫픽스를 배포했다.

APM은 사용자가 조직의 애플리케이션과 네트워크에 접근하는 방식을 제어하는 BIG-IP 모듈이다. 취약한 구성은 APM 접근 정책과 OAuth 인증 서버 프로파일이 동일한 가상 서버에 있는 경우로, 이 가상 서버가 OAuth 트래픽을 수신하는 BIG-IP 주소를 호스팅한다. 해당 가상 서버에 특정 악성 트래픽을 전송하면 원격 코드 실행(RCE)으로 이어질 수 있다.

이 결함은 힙 기반 버퍼 오버플로우(heap-based buffer overflow)이다. F5는 CVSS v3.1 기준 9.8점, CVSS v4.0 기준 9.3점으로 평가했다.

악성 트래픽이 가상 서버 자체를 향하기 때문에, BIG-IP 관리 인터페이스에 대한 접근을 제한하더라도 이 결함을 막을 수 없다. 어플라이언스 모드(Appliance mode)로 운영 중인 BIG-IP 시스템도 취약하다.

미국 CISA(사이버보안·인프라보안국)는 9월 22일 이 결함을 KEV(Known Exploited Vulnerabilities, 실제 악용 확인 취약점) 카탈로그에 등재했다. CISA가 6월에 발령한 지침에 따라 연방 민간 기관에는 9월 25일까지 F5의 완화 조치를 적용할 것을 요구했다.

F5의 CVE 기록과 CISA의 KEV 항목에는 공격받은 시스템 수, 공격자 정체, 표적 조직에 대한 정보가 포함되어 있지 않다.

영향받는 대상

APM이 OAuth 인증 서버로 동작하는 시스템의 경우, 영향받는 버전과 각 핫픽스는 다음과 같다:

OAuth 클라이언트 또는 리소스 서버로만 APM을 사용하고 OAuth 인증 서버 프로파일이 없는 시스템은 영향받지 않는다.

F5는 9월 23일 00:45 UTC에 CVE 기록을 업데이트하여 이 결함이 인증 서버 역할에서만 나타난다고 명시했다. CISA의 KEV 항목과 EU 기관 사이버보안 서비스인 CERT-EU의 권고문은 이 변경 전에 게시되었으며, 두 문서 모두 조건을 더 넓게 기술하여 가상 서버에 접근 정책과 OAuth 프로파일이 있는 경우로 설명하고 있다.

APM 17.1, 17.5, 21.0 버전에 대한 F5의 구성 가이드에서 인증 서버의 OAuth 프로파일은 Access > Federation > OAuth Authorization Server > OAuth Profile 경로에서 생성된다. 이후 가상 서버에 연결된 접근 프로파일에서 선택된다. 이와 같이 구성된 가상 서버는 F5가 설명하는 조건에 해당한다.

F5는 기술 지원이 종료(End of Technical Support)된 버전은 평가하지 않았으므로, 해당 버전의 상태는 안전이 아닌 미확인으로 보아야 한다.

또 다른 APM 결함인 CVE-2025-53521은 3월에 CISA의 KEV 카탈로그에 등재되었다. 해당 취약점의 17.1 및 17.5 브랜치 수정본인 17.1.3 및 17.5.1.3은 위 표의 영향받는 버전 범위 안에 포함된다. 따라서 해당 빌드로 업데이트된 시스템이라도 APM이 OAuth 인증 서버로 동작한다면 새 핫픽스를 추가로 적용해야 한다.

지금 해야 할 일

F5의 수정 방법은 위 표에 각 브랜치별로 나열된 엔지니어링 핫픽스 적용이다. 핫픽스를 즉시 설치할 수 없는 경우, F5는 영향받는 가상 서버에 적용할 iRule 임시 조치를 제공한다. F5 지원 티켓을 열어 요청할 수 있다.

CERT-EU는 포렌식 증거 보존 → 핫픽스 적용 → 침해 징후 확인 → 징후 발견 시 인시던트 대응 개시 순서를 권고한다.

CISA는 기관에 "사전 포렌식 트리아지(triage, 우선순위 분류)를 위해" iRule을 먼저 적용하고, 이후 "가능한 한 빨리 최종 벤더 패치를 설치"하도록 지시했다.

침해 여부 확인

아래 징후는 CERT-EU 권고문에 열거된 F5의 항목이다. 사람이 직접 시스템을 검토해야 하는 조합은 반복적인 OAuth 인증 실패 → 의심스러운 명령 → 직후 TMM SIGABRT 순서로 나타나는 경우이다.

APM 로그: /var/log/apm에서 "The access token is invalid." 오류 설명과 함께 UserInfo 요청이 반복적으로 실패하는 경우. 특히 단일 IP 주소에서 짧은 시간 안에 10회 이상 요청이 발생하는 경우를 주시할 것.
OAuth 카운터: tmctl global_oauth_stat -s total_requests,total_userinfo_requests,total_failed 실행 시 total_failed가 설명 없이 증가하는 경우.
감사 로그: 위 실패 발생 시각 전후로 /var/log/audit에서 의심스러운 명령이 발견되는 경우.
TMM 코어 파일: 단독으로는 침해 징후가 아니지만 조사할 가치가 있다. F5는 TMM이 루프에 진입하여 SOD 데몬이 SIGABRT를 전송하는 사례를 확인했다.

F5의 CVE 기록과 CISA·CERT-EU 권고문에는 핫픽스 설치가 공격자가 이미 확보한 접근권을 제거하는지 여부가 명시되어 있지 않다.

출처

The Hacker News · thehackernews.com

원문 보기