サイバーセキュリティ

注意喚起: F5 BIG-IP Access Policy Managerにおけるヒープベースのバッファオーバーフローの脆弱性（CVE-2026-94127）に関する注意喚起 (公開)

F5製BIG-IP APMにおいて、認証されていないリモートの攻撃者により任意のコードが実行される可能性のあるヒープベースのバッファオーバーフローの脆弱性（CVE-2026-94127）が公表されました。現時点で取得できた本文からは、詳細を確認できませんでした。詳細は公式出典をご確認ください。対象製品を利用する組織では、修正ホットフィックスの適用や提供された緩和策・侵害検出方法に基づく調査の実施が推奨されます。

最終確認日: 2026-09-24

この発表の要点

F5製BIG-IP APMにリモートコード実行が可能なヒープベースのバッファオーバーフローの脆弱性（CVE-2026-94127）が確認され、悪用が報告されている。
対象バージョンは21系（21.1.0）および17系（17.5.0〜17.5.1、17.1.0〜17.1.3）。
修正ホットフィックスの適用やiRuleによる緩和策に加え、提供された手順に基づく侵害検出調査の実施が推奨される。

企業・自治体への影響

対象製品を運用する企業のITインフラ・セキュリティ部門において、認証回避による任意コード実行やシステム侵害のリスクが生じる。

対応すべきこと

自社環境におけるBIG-IP APMのバージョンが対象製品（21.1.0、17.5.0〜17.5.1、17.1.0〜17.1.3）に該当するか確認する。
F5社の公式情報に基づき、修正ホットフィックスの適用またはiRuleによる緩和策を実施する。
提示されたログやコマンド（/var/log/apm、tmctl等）を使用して、システムがすでに侵害されていないか調査する。

対象部門： 情シス

対応期限：速やかに確認

基本データ

企業・団体	一般社団法人JPCERTコーディネーションセンター
業界	IT・ソフトウェア
発表日	2026-09-22
分類	サイバーセキュリティ

発表された内容

2026年9月22日にBIG-IP APM（Access Policy Manager）におけるヒープベースのバッファオーバーフローの脆弱性（CVE-2026-94127）に関するアドバイザリを公表しました。当該製品がOAuth Authorization Serverとして構成され、仮想サーバーにAPM access policyとOAuth profileが設定されている場合、本脆弱性の悪用により、認証されていないリモートの攻撃者が任意のコードを実行する可能性があります。なお、F5は、本脆弱性が悪用されているとしています。

F5
K000162605: BIG-IP APM vulnerability CVE-2026-94127
https://my.f5.com/manage/s/article/K000162605

JPCERT/CCでは、当該製品が国内で広く利用されていることを確認しています。また、watchTowr Labsから詳細解説が公表され、リモートコード実行に至る過程が示されています。今後、本脆弱性を悪用するエクスプロイトコードが公表され、脆弱性を悪用する攻撃が広く行われる可能性があります。当該製品を使用している場合、後述「III. 対策」「V. 侵害検出方法」に記載の情報およびF5が提供する最新の情報をご確認の上、対策の実施とあわせて機器が侵害されていないかどうかの調査の実施をご検討ください。

II. 対象本脆弱性の対象となる製品およびバージョンは次のとおりです。詳細は、開発元が提供する最新の情報をご確認ください。

BIG-IP APM
– 21系：21.1.0
– 17系：17.5.0から17.5.1まで、17.1.0から17.1.3まで

III. 対策F5が提供する最新の情報を確認の上、影響を受けるバージョンを使用している場合、脆弱性を修正するホットフィックスの適用を検討してください。

IV. 緩和策ホットフィックスが適用できない場合、F5は本脆弱性の影響を軽減するための暫定策として、BIG-IP APM仮想サーバーに適用可能なiRuleを提供しています。詳細は、F5が提供する最新の情報をご確認ください。

V. 侵害検出方法F5から侵害検出方法が提供されています。侵害の有無を確認する際には、次の点をご確認ください。これらの痕跡が確認された場合、当該製品が侵害された可能性を踏まえ、さらなる調査の実施を推奨します。

– “/var/log/apm”のログメッセージを確認し、ログID「01990004」のOAuth UserInfo要求失敗イベントが10回以上繰り返し記録されていないかを確認する
※単一の送信元IPアドレスから送信されている場合は特に注意が必要とのことです
– “tmctl global_oauth_stat -s total_requests,total_userinfo_requests,total_failed”のコマンドを実行してOAuthの失敗に関する統計情報を出力し、説明できないOAuthの失敗の急増がないかを確認する
– OAuthの失敗が特に短時間に連続して確認された場合、同じ時間帯の”/var/log/audit”の監査ログメッセージを確認する
– TMMコアファイルが生成されていないかを確認する
※TMMがループ状態に陥ると、SODデーモンがSIGABRTを送信し、その結果コアファイルが生成されるとのことです。当該ファイルを確認した場合は他の事象とあわせて調査を実施してください

また、上記の痕跡を確認した場合、watchTowr Labsが公表した詳細解説で実証された攻撃手法を踏まえ、次の点もあわせてご確認ください。

– “/f5-oauth2/v1/userinfo” に対して、異常に長いAuthorizationヘッダーを含む細工したHTTPリクエストを送信されていないかを確認する
※上記以外のパスにも細工したHTTPリクエストが送信される可能性があります
– “/etc/bigstart/scripts/tmm.finish” のファイルが改ざんされていないことを確認する

VI. 参考情報
watchTowr Labs
Is This A Joke? In The Auth Header? (F5 BIG-IP UnAuth Heap-Overflow to RCE CVE-2026-94127)
https://labs.watchtowr.com/is-this-a-joke-in-the-auth-header-f5-big-ip-unauth-heap-overflow-to-rce-cve-2026-94127/

今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。

一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp

Topへ

出典: www.jpcert.or.jp
URL: https://www.jpcert.or.jp/at/2026/at260028.html

時系列

2026-09-22　BIG-IP APM（Access Policy Manager）におけるヒープベースのバッファオーバーフローの脆弱性（CVE-2026-94127）に関するアドバイザリを公表しました。

主な数値

BIG-IP APM 21系対象バージョン	21.1.0バージョン
BIG-IP APM 17系対象バージョン	17.5.0から17.5.1まで、17.1.0から17.1.3までバージョン
OAuth UserInfo要求失敗イベントの繰り返し回数（注意基準）	10回以上

この事例から確認すべきポイント

本事例は、広く利用されているネットワーク機器の主要機能（BIG-IP APM）におけるリモートコード実行（RCE）の脆弱性に関する注意喚起である。開発元であるF5社ですでに悪用を確認しているとの情報があり、エクスプロイトコードの公表や広範な攻撃への発展リスクが指摘されている。実務においては、対象バージョンの利用有無の速やかな棚卸しと、ホットフィックスの適用、さらには提供されたログやコマンドによる侵害有無の監査が急務となる。インフラ部門およびセキュリティ部門を中心とした迅速な連携と対応計画の策定が求められる。

公式出典

更新履歴

公開日: 2026-09-24 ／最終確認: 2026-09-24

執筆・確認主体

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、原文に記載のない事項を補って書くことはしていません。内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク）／出典確認日: 2026-09-24