「F5 BIG-IP APM」脆弱性の悪用が発生 - 当初発表より深刻なリスク

2025年10月に公表された「F5 BIG-IP Access Policy Manager（APM）」の脆弱性「CVE-2025-53521」が悪用されていることがわかった。同社は利用者に対し、機器が侵害されていないか確認するよう求めている。

「CVE-2025-53521」は、仮想サーバー上で「BIG-IP APM」のアクセスポリシーが設定されている場合に、細工したトラフィックによってリモートからコードを実行されるおそれがある脆弱性。

2025年10月のアドバイザリ発表当初、F5ではサービス拒否の脆弱性としており、共通脆弱性評価システムにおけるベーススコアも「CVSSv4.0」で「8.7」、「CVSSv3.1」において「7.5」と評価されていた。

しかし、2026年3月に入り、リモートから悪用できることが判明。「CVSSv4.0」のベーススコアを「9.3」、「CVSSv3.1」を「9.8」と上方修正した。

すでに攻撃活動に悪用されているとして、同社では脅威情報「IOC」を公開。機器が悪意のあるソフトウェア「c05d5254」によって侵害されていないか確認するよう利用者に呼びかけている。

（Security NEXT - 2026/03/30 ）ツイート