Die Situation rund um CVE-2025-53521 zeigt ein klassisches Szenario im Cybersecurity-Alltag: Eine Sicherheitslücke wird zunächst unterschätzt, später offenbaren sich ihre wahren Gefahren. F5 hatte die Anfälligkeit zunächst als Denial-of-Service-Problem klassifiziert. Doch im März 2026 erhielt das Unternehmen neue Informationen, die eine Neubewertung erforderlich machten. Das Ergebnis ist bemerkenswert: Aus einer mittelschweren DoS-Schwachstelle wurde eine kritische RCE-Lücke mit CVSS-Wert 9.3.
Besonders beunruhigend ist die bereits laufende Ausnutzung in der Praxis. F5 bestätigte, dass die Lücke “in den vulnerablen BIG-IP-Versionen” tatsächlich attackiert wird. Die Angreifer hinterlassen dabei professionelle Spuren: Neben traditionellen Webshells, die auf die Festplatte geschrieben werden, nutzen sie auch speichergestützte Varianten, die schwerer zu entdecken sind. Das macht eine forensische Analyse besonders herausfordernd.
Benjamin Harris, CEO und Gründer von watchTowr, fasst die Lage prägnant zusammen: “Was zunächst als Denial-of-Service-Problem erschien, hat sich zu einer Pre-Auth-Remote-Code-Execution mit Livezeichen entwickelt.” Das ist tatsächlich ein fundamentaler Unterschied im Risikoprofil.
Die Angreifer gehen dabei systematisch vor. Laut Defused Cyber, einem Cybersecurity-Unternehmen, werden gezielt die REST-API-Endpoints von F5 BIG-IP gescannt. Konkret betroffen ist /mgmt/shared/identified-devices/config/device-info – ein Endpunkt zur Abfrage von Systeminformationen wie Hostname, Maschinen-ID und MAC-Adressen. Dies deutet auf einen strukturierten Angriff hin, bei dem sich Eindringlinge zunächst über die Zielumgebung informieren.
Für deutsche Organisationen liegt die Handlung auf der Hand: Alle BIG-IP-APM-Instanzen sollten sofort überprüft werden. F5 hat Indikatoren veröffentlicht, um Kompromittierungen zu erkennen. Sicherheitsverantwortliche sollten auch speicherbasierte Webshells im Auge behalten – ein Einsatzmuster, das auf professionelle Angreifer deutet. Mit der CISA-KEV-Listung wird CVE-2025-53521 zur Priorität Nummer eins im Patch-Management. Wer noch nicht handelt, befindet sich bereits unter Druck.