F5 BIG-IP APM 曝严重未授权 RCE：CVE-2026-94127 已进 CISA KEV
F5 披露 BIG-IP APM 堆溢出漏洞，特定 OAuth 授权服务器配置下可被未认证攻击者远程代码执行，CVSS 9.8。
据 Rapid7 综述，F5 于 9 月 22 日公布 CVE-2026-94127：BIG-IP Access Policy Manager 存在堆溢出，未认证攻击者若能访问配置了 APM 访问策略与 OAuth 配置文件的虚拟服务器，可能远程执行代码，CVSS 9.8。默认配置通常不受影响；Appliance 模式数据平面亦可能受影响。
影响 21.1.0、17.5.x、17.1.x 等分支，官方已提供热修复。该 CVE 已列入 CISA 已知被利用漏洞目录，建议尽快打补丁或按厂商指引使用临时 iRule 缓解。