F5가 자사의 접근 관리 솔루션 BIG-IP APM에서 발견된 심각한 제로데이 취약점(CVE-2026-94127)에 대한 보안 업데이트를 긴급 배포했습니다. 이 취약점은 RCE(원격 코드 실행, 공격자가 인터넷을 통해 서버를 마음대로 조종할 수 있는 공격)에 이미 실제로 악용되고 있어 즉각적인 대응이 필요합니다. OAuth 인증 서버로 설정된 환경에서만 취약점이 발생하며, 인터넷에 노출된 BIG-IP APM 장비가 전 세계 14,700개 이상으로 파악돼 피해 규모가 클 수 있습니다. CISA(미국 사이버보안·인프라보안국)는 이 취약점을 실제 악용 확인 목록(KEV)에 등재하고, 미국 연방 기관에 금요일까지 패치를 완료하도록 명령했습니다. 즉시 패치가 어려운 경우를 위해 F5는 iRule을 이용한 임시 완화 조치도 제공하고 있습니다.
F5 BIG-IP APM에서 OAuth 인증 서버 설정 시 발생하는 힙 기반 버퍼 오버플로우(Heap-based Buffer Overflow) 취약점 CVE-2026-94127이 발견됐으며, 해당 취약점을 악용한 RCE 공격이 실제 발생하고 있음.
공격자가 원격에서 시스템을 완전히 장악할 수 있으며, 전 세계 14,700개 이상의 인터넷 노출 장비가 잠재적 위험에 처해 있음. CISA가 연방기관에 긴급 패치를 명령할 만큼 위험도가 높음.
BIG-IP APM이 OAuth 인증 서버로 설정된 가상 서버 환경에서 힙 메모리 처리 오류가 발생, 원격 코드 실행으로 이어지는 구조적 결함이 원인.
F5가 보안 업데이트를 배포했으며, 즉시 패치가 불가한 경우 F5 지원팀을 통해 iRule 임시 완화 조치를 제공함. CISA는 CVE-2026-94127을 KEV에 등재하고 연방기관에 금요일까지 패치 완료를 지시함.
BIG-IP APM을 OAuth 인증 서버로 운영 중인 조직은 즉시 패치를 적용해야 하며, 다중 OAuth 인증 실패와 의심스러운 명령 실행, TMM SIGABRT 조합이 로그에서 확인될 경우 침해 여부를 즉각 점검해야 함.
본문
F5가 원격 코드 실행(RCE) 공격에 악용되고 있는 BIG-IP APM의 심각한 제로데이 취약점을 해결하기 위한 보안 업데이트를 배포했습니다.
BIG-IP APM(Access Policy Manager의 약자)은 F5의 중앙집중식 접근 관리 프록시 솔루션으로, 관리자가 조직의 네트워크, 애플리케이션, 클라우드 및 API(애플리케이션 프로그래밍 인터페이스)에 대한 접근을 안전하게 보호할 수 있도록 지원합니다.
CVE-2026-94127로 추적되는 이 취약점은 BIG-IP APM 액세스 정책과 OAuth 프로필이 가상 서버에 구성된 상태에서 OAuth 인증 서버(OAuth Authorization Server)로 설정된 인스턴스에 영향을 미칩니다.
F5는 화요일에 공개한 보안 권고문에서 "이 취약점이 악용된 사실을 확인했다"고 경고했습니다. "OAuth 인증 서버 프로필 없이 APM을 순수하게 OAuth 클라이언트 / 리소스 서버로만 사용하는 환경은 이 취약점의 영향을 받지 않습니다."
F5는 다수의 OAuth 인증 실패와 의심스러운 명령 실행이 결합되고 그 직후 TMM SIGABRT가 발생하는 패턴이 감지될 경우 침해 지표(Indicator of Compromise)를 확인하도록 고객에게 권고했습니다.
또한 F5는 즉시 보안 업데이트를 설치할 수 없는 관리자를 위해 완화 조치도 공유했는데, 이는 영향받는 BIG-IP APM 가상 서버에 iRule(F5 지원팀을 통해 제공)을 적용하는 방식입니다.
인터넷 위협 모니터링 비영리 단체 Shadowserver는 현재 BIG-IP APM 핑거프린트를 가진 IP 주소를 14,700개 이상 추적하고 있습니다. 다만 이 중 얼마나 많은 장비가 이미 패치됐거나 허니팟인지에 대한 정보는 없습니다.
온라인에 노출된 F5 BIG-IP APM (Shadowserver)
화요일, 사이버보안 및 인프라보안국(CISA)도 CVE-2026-94127을 실제 악용 취약점 목록(KEV 카탈로그)에 추가하고, 미국 연방 기관에 금요일까지 해당 취약점으로부터 네트워크를 보호하도록 명령했습니다.
CISA는 "이러한 유형의 취약점은 악의적인 사이버 행위자들이 자주 악용하는 공격 경로이며 연방 기관에 상당한 위험을 초래한다"고 경고했습니다.
사이버 범죄 조직 및 국가 지원 위협 그룹은 최근 몇 년간 F5의 취약점을 자주 악용해 왔습니다. 예를 들어, 공격자들은 F5 제품의 보안 결함을 이용해 기업 네트워크를 침해하고, 장비를 탈취하며, 내부 서버를 매핑하고, 데이터 삭제 악성코드를 배포하고, 민감한 문서를 탈취한 사례가 있습니다.
F5는 2025년 10월에도 국가 지원 해커들이 2025년 8월 자사 시스템에 침입해 BIG-IP의 미공개 보안 소스 코드와 취약점 정보를 탈취했다고 공개한 바 있습니다.
2021년 11월 이후 CISA는 실제 악용이 확인된 F5 취약점을 8건 지정했으며, 이 중 4건은 랜섬웨어 공격에도 악용됐습니다.
F5는 포춘 500대 기업으로, 포춘 50대 기업 중 48곳과 포춘 글로벌 500대 기업의 80%를 포함해 전 세계 23,000개 이상의 고객에게 사이버보안, 애플리케이션 전달 네트워킹(ADN) 및 기타 서비스를 제공하고 있습니다.
AI 기반 공격에 대비한 보안 청사진 구축
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 멈춰야 할 것은 무엇인지, 그리고 기계 속도로 어떻게 검증하고, 결정하고, 수정하고, 재검증할 것인지를 다룹니다.
자리 예약하기
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
