Die Lücke CVE-2025-53521 veröffentlichte F5 zunächst am 15. Oktober 2025 als Denial-of-Service-Problem. Am 27. März 2026 stufte der Hersteller sie aufgrund neuer Erkenntnisse als Remote Code Execution ein und erklärte, sie sei ausgenutzt worden. Eine Anmeldung ist nicht erforderlich; F5 bewertet den Fehler mit 9,8 nach CVSS 3.1 und 9,3 nach CVSS 4.0. CISA nahm ihn am selben Tag in den Katalog bekannter ausgenutzter Schwachstellen auf und setzte US-Bundesbehörden eine Frist bis zum 30. März.
Betroffen sind Konstellationen, in denen auf einem virtuellen Server eine BIG-IP-APM-Zugriffsrichtlinie konfiguriert ist. Das britische National Cyber Security Centre bezeichnet BIG-IP APM als verbreitete Komponente, besonders in großen Organisationen. Die betroffenen und korrigierten Versionen listet F5 im eigenen Advisory. Das irische National Cyber Security Centre wies in einem Advisory vom 31. März darauf hin, dass der im Oktober veröffentlichte Patch weiterhin gültig sei und vor Ausnutzung schütze.
Die Webshell ist nur der letzte Schritt einer längeren Kette – die vorherigen hinterlassen sehr wohl Spuren auf der Festplatte. Laut Sophos infiziert ein separater Installer, gefunden in einem Sample namens umount, den Apache-Webserver unter /usr/sbin/httpd, indem er Schadcode vor die eigentliche Datei setzt. Die Größe dieses Codes entspricht der im Installer mitgeführten Nutzlast, was nach Einschätzung von Sophos stark dafür spricht, dass der Installer ihn dort platziert.
ESET, das verwandte Samples im April analysierte und die Schadsoftware PoisonedRefresh nannte, beschreibt den Installer als für die Ausführung mit Root-Rechten gedacht; er schaltet SELinux ab. Zudem infiziert er umount, httpd und rc.local innerhalb von BIG-IP-Installationsabbildern – vermutlich, so ESET, um die Malware über das Installationsmedium auf weitere Systeme zu tragen.
Weil der Code im Apache-Programm selbst sitzt, läuft er vor dessen eigenem Code. Sophos zufolge klinkt er sich in die Apache-Portable-Runtime-Funktion apr_dso_load ein und bleibt untätig, bis Apache das PHP-Modul libphp lädt. Danach liest er /proc/self/maps, um das Modul im Speicher zu finden, macht die betreffenden Speicherseiten kurzzeitig beschreibbar, schreibt die Aufrufe zum Öffnen, Vermessen und Einblenden von Dateien um und stellt die ursprünglichen Rechte wieder her. Von da an bestimmt er, was PHP beim Öffnen der drei Skripte zu sehen bekommt: Beim Einblenden in den Speicher setzt er die Webshell vor den Originalinhalt.
Die Webshell liest den Rohtext einer Anfrage, prüft eine kurze Markierung, entschlüsselt den Rest und führt ihn aus. Sie antwortet mit HTTP-Status 201 und einem CSS-Inhaltstyp, sodass der Vorgang wie der Abruf eines Stylesheets wirkt. Daneben öffnet die Malware einen lokalen Socket unter /run/bigtlog.pipe und verbindet ihn nach Prüfung eines festen Tokens mit /bin/bash – eine interaktive Shell ohne offenen Netzwerkport. Code zum Verbinden mit diesem Socket fand Sophos im Sample nicht; beide Zugänge wirken wie getrennte Funktionen.
Sophos untersuchte ein einzelnes Sample, nennt kein Opfer und macht keine Angaben zur Herkunft. Die eigenen Verhaltensindikatoren bezeichnet das Unternehmen als Ermittlungsansätze, nicht als Beweis. F5s Liste enthält zusätzliche Punkte, darunter /run/bigstart.ltm und Änderungen an sys-eicheck.
Offen bleibt, seit wann ausgenutzt wird – F5 hat dazu nichts gesagt. Das irische NCSC erklärt, es liege kein Zeitrahmen vor, und rechnet damit, dass bereits vor der Erstveröffentlichung im Oktober 2025 Angriffe stattfanden oder möglich waren. Das britische NCSC rät, „unabhängig vom Zeitpunkt der Aktualisierung” auf Kompromittierung zu prüfen. Ob ein Upgrade auf eine korrigierte Version bereits installierte Malware entfernt, sagt keine der Veröffentlichungen; Sophos und ESET beschreiben eine Komponente, die Upgrade-Abbilder überdauern soll. Einen Angreifer benennt niemand: Sophos sieht dafür keine ausreichenden Belege, ESET hatte die Frage im April ebenfalls offengelassen.