F5 hat am Mittwoch ein umfassendes Sicherheitsupdate veröffentlicht, das die Behebung von insgesamt über 50 Schwachstellen in seinen Produktlinien dokumentiert. Die kritischste identifizierte Lücke trägt die Bezeichnung CVE-2026-42945 und weist einen CVSS-Score von 9,2 auf. Diese Schwachstelle betrifft das Modul ngx_http_rewrite_module in NGINX und ermöglicht es unauthentifizierten Angreifern, über manipulierte HTTP-Anfragen einen Pufferüberlauf im Heap-Speicher auszulösen. Dies führt normalerweise zu einem Denial-of-Service, kann aber bei deaktiviertem ASLR (Address Space Layout Randomization) auch zur beliebigen Codeausführung missbraucht werden.
Als zweite schwerwiegende Lücke folgt CVE-2026-41225 mit einem CVSS-Score von 8,6. Diese Schwachstelle in iControl REST ermöglicht es authentifizierten Angreifern mit Manager-Rechten, neue Konfigurationsobjekte zu erstellen und damit Befehle auszuführen. F5 warnt besonders davor, dass privilegierte Angreifer mit Netzwerkzugriff auf den Management-Port möglicherweise Sicherheitsgrenzen überschreiten können – vor allem in sogenannten Appliance-Mode-Umgebungen.
Darüber hinaus wurden drei weitere kritische Remote-Code-Execution- und Remote-Command-Injection-Lücken (CVE-2026-41957, CVE-2026-34176, CVE-2026-39459) in BIG-IP behoben. Diese erfordern zwar Authentifizierung, sind aber dennoch hochriskant. Weitere kritische Schwachstellen können zu Zugriffsbeschränkungen, Dateimanipulationen oder zwölf verschiedenen DoS-Szenarien führen – häufig durch einen Crash des Traffic Management Microkernel (TMM).
Die 32 mittelschweren Lücken ermöglichen Sicherheits-Bypässe, Privilege-Escalation, Informationspreisgabe, Befehlseinspritzung und lokale Dateiveränderungen. Ein positiver Aspekt: Nach aktuellem Wissenstand werden bislang keine dieser Schwachstellen in Angreifer-Kampagnen aktiv ausgenutzt.
Für deutsche Organisationen, insbesondere solche in regulierten Bereichen, ist schnelles Handeln erforderlich. Das BSI wird die Schwachstellen vermutlich in sein Warnungssystem aufnehmen. Besonders Behörden und kritische Infrastrukturen sollten die Patches zeitnah einspielen und ihre Systeme überprüfen.