NCSC waarschuwt voor actief misbruik van kwetsbaarheid in F5 BIG-IP APM

Voor een organisatie kan een systeem dat externe toegang regelt een cruciale schakel zijn. Het Nationaal Cyber Security Centrum (NCSC) waarschuwt op 22 september voor een kwetsbaarheid in F5 BIG-IP Access Policy Manager (APM) die volgens de leverancier al actief wordt misbruikt. De waarschuwing is gericht op beheerders van zulke systemen, niet op iedere gebruiker van het internet.

De technische afbakening verdient aandacht. Volgens beveiligingsadvies NCSC-2026-0386 zijn BIG-IP APM-systemen alleen door deze specifieke fout getroffen wanneer op de virtuele server zowel een access policy als een OAuth-profiel is ingesteld. Wie alleen leest dat ‘F5 kwetsbaar is’, mist dus de voorwaarde die bepaalt of de melding op een omgeving van toepassing kan zijn.

Wat is er bevestigd?

Het advies koppelt de fout aan CVE-2026-94127. Een aanvaller kan volgens het NCSC zonder inloggegevens speciaal netwerkverkeer naar een kwetsbaar systeem sturen en daardoor schadelijke code uitvoeren. F5 heeft beveiligingsupdates uitgebracht. Het NCSC meldt op basis van de leveranciersinformatie dat het om een zogenoemde zeroday gaat die actief wordt misbruikt.

Actief misbruik betekent niet dat elk systeem met F5-software is binnengedrongen. Het NCSC noemt geen aantal getroffen organisaties in Nederland. Evenmin volgt uit het advies dat een gewone bezoeker van een website zelf zo’n BIG-IP APM-apparaat bezit of moet beheren.

Eerst controleren, dan de passende maatregel

F5 heeft volgens het NCSC indicatoren gepubliceerd die kunnen wijzen op eerder misbruik. Daarom adviseert het centrum organisaties met de getroffen configuratie om hun systemen op die sporen te controleren voordat zij de beveiligingsupdates installeren. Beheerders die niet meteen kunnen bijwerken, worden naar de tijdelijke maatregelen van F5 verwezen. De juiste aanpak hangt af van de geïnstalleerde versie en configuratie; daarvoor is het actuele technische advies bedoeld.

Voor Nederlandse lezers is de praktische consequentie beperkt maar belangrijk: IT-teams en dienstverleners die toegang voor medewerkers of klanten via BIG-IP APM regelen, kunnen nagaan of de twee configuratievoorwaarden gelden. Het bericht is geen aanwijzing dat alle F5-producten of alle netwerken in Nederland getroffen zijn. Nieuwe technische gegevens of waargenomen aanvallen kunnen aanleiding zijn het advies bij te stellen; een redactioneel artikel vervangt die actuele leveranciers- en NCSC-documentatie niet.