Den 22 september 2026 publicerade F5 ett säkerhetsråd som fick brandväggsadministratörer runt om i Norden att lägga andra uppgifter åt sidan. Sårbarheten, katalogiserad som CVE-2026-94127, sitter i Access Policy Manager (APM) i BIG-IP-plattformen och har fått högsta allvarlighetsgrad: CVSS 9,8 av 10. F5 bekräftar själva att felet redan utnyttjas aktivt, vilket gör det till en zero-day i ordets strikta bemärkelse — attackerna började innan patchen fanns tillgänglig.
BIG-IP-produkter sitter ofta precis vid internetkanten hos banker, myndigheter, telekombolag och sjukvårdsorganisationer, där de hanterar lastbalansering, fjärråtkomst och VPN-trafik. Det gör en kritisk, oautentiserad RCE-brist i just den produktfamiljen till ett problem som sträcker sig långt utanför F5:s egna kundlista. Den här artikeln går igenom vad sårbarheten faktiskt gör, vilka som är exponerade, hur den jämförs historiskt med tidigare BIG-IP-incidenter och vad svenska och nordiska organisationer bör göra de närmaste dagarna.
Vad är CVE-2026-94127 i korthet
Sårbarheten är en heap-baserad buffertöverskrivning i BIG-IP Access Policy Manager. Enligt F5:s egen rådgivning (K000162605) uppstår problemet “när en BIG-IP APM-åtkomstpolicy och en OAuth-profil är konfigurerade på en virtuell server, kan specifik skadlig trafik leda till fjärrkörning av kod (RCE)”. Det centrala villkoret är att systemet fungerar som en OAuth-auktoriseringsserver, inte enbart som klient eller resursserver.
Det gör felet konfigurationsberoende snarare än universellt. F5 skriver uttryckligen att “denna sårbarhet finns endast när BIG-IP APM är konfigurerad som en OAuth-auktoriseringsserver”, och att “installationer som använder APM enbart som en OAuth-klient/resursserver (utan konfigurerade profiler för OAuth-auktoriseringsserver) påverkas inte av denna sårbarhet”. Det betyder att en synlig BIG-IP-banderoll på internet inte i sig bevisar att en given installation är sårbar, men det går heller inte att anta motsatsen utan att faktiskt kontrollera konfigurationen.
Bristen kräver ingen autentisering. En attackerare som hittar en exponerad virtuell server med rätt kombination av åtkomstpolicy och OAuth-profil kan i teorin skicka skadligt utformad trafik och få systemet att köra egen kod, utan giltiga inloggningsuppgifter. F5 noterar dessutom att BIG-IP-system som körs i så kallat Appliance Mode, ett hårdare driftläge som normalt begränsar administratörsåtkomst, också är sårbara. Det är en detalj som förvånar en del säkerhetsteam, eftersom Appliance Mode ofta används just för att minska attackytan.
Tidslinjen: från upptäckt till aktiv exploatering
F5 publicerade sin rådgivning den 22 september 2026, samma dag som CVE-numret registrerades officiellt hos CVE.org. Det som skiljer den här händelsen från många andra patch-cykler är hur snabbt myndigheter internationellt följde efter. Redan samma dag noterade Kanadas cybersäkerhetscentrum i sin uppdaterade rådgivning (AV26-949) att amerikanska CISA hade lagt till felet i sin katalog över känt utnyttjade sårbarheter samma dag som det offentliggjordes, vilket är ett tecken på att exploatering redan pågick innan patchen släpptes.
Dagen efter, den 23 september, följde flera europeiska CERT-organisationer efter. CERT-EU publicerade en rådgivning som pekar ut de sårbara versionerna, det franska CERT-FR (ANSSI) gick ut med en liknande varning via CERTFR-2026-AVI-1220, och Tysklands BSI beskrev händelsen som en “aktiv utnyttjad zero-day-sårbarhet”. Säkerhetsföretaget Rapid7 publicerade samma vecka en teknisk analys där de kallade felet en “kritisk oautentiserad RCE” och underströk att förutsättningen med OAuth-auktoriseringsservern är smal men att effekten vid träff är mycket allvarlig.
CERT-SE nämnde i sitt veckobrev för vecka 38 flera samtidiga hot mot fjärråtkomstinfrastruktur, inklusive Cisco- och Citrix-sårbarheter som drabbade svenska nätverk under samma period. Det speglar ett mönster som säkerhetsbranschen sett växa fram under hösten 2026: flera leverantörer av VPN- och fjärråtkomstprodukter har fått akuta säkerhetsråd inom loppet av bara några veckor, vilket pressar redan tunna IT-säkerhetsteam att prioritera mellan flera samtidiga brandsläckningar.
Vilka versioner är drabbade — och vilka patchar fixar felet
F5 pekar ut tre versionsgrenar av BIG-IP APM som sårbara, samt de specifika hotfixar som stänger hålet. Skillnaden mellan grenarna är viktig eftersom flera organisationer kör äldre långtidsstödda versioner parallellt med nyare installationer.
| Versionsgren | Sårbar från | Patch som krävs | Status |
|---|---|---|---|
| BIG-IP APM 21.x | 21.1.0 | Hotfix-BIGIP-21.1.0.2.0.30.22-ENG | Patch tillgänglig |
| BIG-IP APM 17.5.x | 17.5.0 – 17.5.1 | Hotfix-BIGIP-17.5.1.9.0.160.12-ENG | Patch tillgänglig |
| BIG-IP APM 17.1.x | 17.1.0 – 17.1.3 | Hotfix-BIGIP-17.1.3.5.0.41.14-ENG | Patch tillgänglig |
Det är värt att notera att F5 klassar det här som riktade hotfixar snarare än en generell versionsuppgradering. Administratörer bör alltså inte anta att en uppgradering till valfri nyare delversion automatiskt löser problemet; det specifika hotfix-paketet för respektive gren måste installeras. F5 rekommenderar också att organisationer verifierar sin exakta uppgraderingsväg i den officiella rådgivningen innan de rullar ut ändringar i produktion, eftersom plattformsspecifika villkor kan påverka vilken build som är korrekt för en given hårdvaru- eller molninstallation.
Interimistiska åtgärder om patchning inte kan ske direkt
För organisationer som av driftskäl inte kan installera hotfixarna omedelbart finns ett antal steg som minskar risken, även om de inte ersätter patchning. Eftersom bristen är konfigurationsberoende är det första och mest effektiva steget att kontrollera om APM verkligen är konfigurerad som OAuth-auktoriseringsserver på de virtuella servrar som är exponerade mot internet.
- Ta bort eller inaktivera profiler för OAuth-auktoriseringsserver på virtuella servrar där funktionen inte är affärskritisk.
- Begränsa exponeringen av de drabbade virtuella servrarna med brandväggsregler, allowlists eller genom att flytta administrationsgränssnitt bakom ett internt nät.
- Se till att hanteringsgränssnittet för BIG-IP aldrig är direkt nåbart från det öppna internet, oavsett om APM-modulen används eller inte.
- Granska loggar för ovanliga förfrågningar mot OAuth-relaterade endpoints, oväntade barnaprocesser eller nya administratörskonton.
- Om systemet varit internetexponerat med sårbar konfiguration bör det betraktas som potentiellt komprometterat, med åtföljande rotation av autentiseringsuppgifter och certifikat.
Dessa steg bör ses som tillfälliga kompenserande kontroller i väntan på ett planerat patchfönster, inte som en permanent lösning. F5:s egen rådgivning är tydlig med att den fullständiga lösningen kräver installation av respektive hotfix.
Historisk jämförelse: BIG-IP och mönstret av upprepade kritiska brister
CVE-2026-94127 är inte första gången F5:s flaggskeppsprodukt hamnar i rampljuset av fel skäl. I oktober 2023 avslöjades CVE-2023-46747, en oautentiserad SQL-injektionsbrist i BIG-IP:s konfigurationsgränssnitt som i vissa fall kunde leda till administrativ åtkomst och kodexekvering. Den sårbarheten exploaterades brett kort efter offentliggörandet och tvingade tusentals organisationer till akutpatchning.
Skillnaden mellan de två incidenterna ligger i attackytan. CVE-2023-46747 exponerades primärt via hanteringsgränssnittet, vilket innebar att organisationer som redan följde grundläggande rådet att aldrig exponera administrationsportaler mot internet hade ett visst inbyggt skydd. CVE-2026-94127 sitter däremot i själva applikationstrafiken via APM, en modul som ofta är avsiktligt internetexponerad eftersom dess hela syfte är fjärråtkomst och autentisering av externa användare. Det gör den nya sårbarheten svårare att skydda enbart genom nätverkssegmentering.
| Egenskap | CVE-2026-94127 (2026) | CVE-2023-46747 (2023) |
|---|---|---|
| Produktdel | BIG-IP Access Policy Manager | BIG-IP konfigurationsgränssnitt |
| Sårbarhetstyp | Heap-baserad buffertöverskrivning | Oautentiserad SQL-injektion |
| CVSS-poäng | 9,8 | 9,8 |
| Kräver autentisering | Nej | Nej |
| Typisk exponering | Applikations-/åtkomsttrafik (avsiktligt öppen) | Administrationsgränssnitt (bör vara stängt) |
| Offentliggörande | 22 september 2026 | Oktober 2023 |
| Bekräftad aktiv exploatering vid release | Ja, enligt F5 | Ja, kort efter release |
Mönstret som växer fram är att BIG-IP, i egenskap av central infrastrukturkomponent hos tusentals stora organisationer, konsekvent hamnar högt på listan över mål när statssponsrade grupper och ransomware-aktörer letar efter ingångspunkter. Samma logik gäller för konkurrerande produkter som Citrix NetScaler och Cisco-lösningar, vilka också fått flera kritiska säkerhetsråd under 2026. Gemensamt för dessa produktkategorier är att de per definition måste vara nåbara utifrån för att fylla sin funktion, vilket gör varje ny RCE-brist i dem särskilt allvarlig jämfört med sårbarheter i interna system.
Vad experterna säger
F5 har varit ovanligt tydliga i sin egen rådgivning om både orsak och konsekvens. I sitt säkerhetsråd K000162605 skriver bolaget att “vi har fått veta att denna sårbarhet har utnyttjats”, en formulering som SecurityWeek citerade i sin rapportering om händelsen (SecurityWeek). Det är ett ovanligt direkt erkännande från en leverantör redan vid första publiceringen, snarare än något som bekräftas veckor senare efter extern forskning.
F5 preciserar också riskbilden tekniskt: “när en BIG-IP APM-åtkomstpolicy och en OAuth-profil är konfigurerade på en virtuell server, kan specifik skadlig trafik leda till fjärrkörning av kod (RCE)” (F5 säkerhetsråd). Samtidigt understryker leverantören gränserna för sårbarheten: “denna sårbarhet finns endast när BIG-IP APM är konfigurerad som en OAuth-auktoriseringsserver”, och vidare att “installationer som använder APM enbart som en OAuth-klient/resursserver (utan konfigurerade profiler för OAuth-auktoriseringsserver) påverkas inte av denna sårbarhet” (F5 säkerhetsråd).
En detalj som fått flera säkerhetsanalytiker att höja på ögonbrynen är att skyddsläget inte räcker till fullo ut. F5 noterar i sin rådgivning att “BIG-IP-systemet i Appliance-läge är också sårbart”, ett uttalande som SecurityWeek också lyfte fram i sin granskning (SecurityWeek). Appliance Mode marknadsförs normalt som ett härdat driftläge, vilket gör den bekräftelsen extra relevant för organisationer som förlitat sig på det läget som en extra säkerhetsmarginal.
Marknadspåverkan: vad betyder det här för F5 och konkurrenterna
F5 är en av de större aktörerna inom applikationsleverans och säker fjärråtkomst, med kunder inom bank, telekom, myndigheter och sjukvård över hela världen. En upprepad serie kritiska sårbarheter i samma produktlinje riskerar att påverka kundernas förtroende på längre sikt, särskilt hos organisationer som redan väger alternativ som Citrix NetScaler, Palo Alto-lösningar eller molnbaserade zero-trust-plattformar som ersättning för traditionell VPN-infrastruktur.
Samtidigt är bytet av en så central infrastrukturkomponent som BIG-IP en stor operativ investering, vilket gör att de flesta kunder i praktiken stannar kvar och patchar snarare än byter leverantör efter en enskild händelse. Det är också värt att komma ihåg att konkurrerande produkter genomgått liknande mönster under samma period: Citrix publicerade i slutet av september 2026 en samlad rådgivning som täckte åtta sårbarheter i NetScaler ADC och Gateway, inklusive två kritiska oautentiserade RCE-brister som också bekräftats aktivt exploaterade. Det tyder på att problemet är strukturellt för hela kategorin fjärråtkomstprodukter snarare än unikt för en enskild leverantör.
För säkerhetsbranschen som helhet driver den här typen av händelser efterfrågan på verktyg för extern attackyteanalys och kontinuerlig sårbarhetsscanning, eftersom många organisationer helt enkelt inte har full överblick över exakt vilka konfigurationer som körs på deras internetexponerade infrastruktur. Flera leverantörer av sårbarhetshanteringstjänster har redan pekat på CVE-2026-94127 som ett skolboksexempel på varför konfigurationsmedvetenhet, inte bara patchversion, måste vara en del av sårbarhetsbedömningen.
Nordisk och svensk kontext
Under samma vecka som F5-sårbarheten offentliggjordes hanterade svenska säkerhetsteam redan flera parallella hot. CERT-SE:s veckobrev för vecka 38 (CERT-SE) beskriver hur Cisco den 16 september publicerade säkerhetsuppdateringar för flera sårbarheter som redan utnyttjades aktivt, samtidigt som norska Stortingets webbplats stundtals var otillgänglig efter en överbelastningsattack den 14 september. Den samlade bilden är en säkerhetshöst där svenska och nordiska organisationer tvingats prioritera mellan flera samtidiga akutpatchningar i kärninfrastruktur, snarare än att hantera en enskild isolerad händelse.
Det gör F5-sårbarheten svårare att hantera i praktiken än vad ett enskilt CVSS 9,8-betyg antyder. Ett säkerhetsteam som redan lägger resurser på att verifiera Cisco- och Citrix-exponering har mindre kapacitet kvar för att grundligt granska sina BIG-IP-installationers OAuth-konfiguration samma vecka. Erfarenheten från tidigare svenska incidenter, som Miljödata-attacken sommaren 2025 där brister i en enskild leverantörs system fick spridningseffekter hos hundratals kommuner, visar att just den typen av resursbrist ofta är den faktiska orsaken till att kända sårbarheter förblir opatchade i månader trots offentliga varningar.
Konkurrentjämförelse: BIG-IP mot andra fjärråtkomstplattformar
När organisationer utvärderar sin exponering är det relevant att sätta F5:s incident i relation till motsvarande produkter från andra leverantörer under samma period. Ingen av dessa plattformar har varit immun mot kritiska sårbarheter under 2026, vilket antyder att risken ligger i produktkategorin snarare än hos en enskild leverantör.
| Produkt | Senaste kritiska CVE (2026) | CVSS | Bekräftad aktiv exploatering |
|---|---|---|---|
| F5 BIG-IP APM | CVE-2026-94127 | 9,8 | Ja |
| Citrix NetScaler ADC/Gateway | Bulletin med 8 sårbarheter, sept 2026 | Kritisk (flera) | Ja, två av bristerna |
| Cisco Secure Email Gateway/ISE | Flera CVE:er, sept 2026 | Upp till 10,0 | Ja |
| Check Point VPN | CVE-2026-85102/85103 | 9,8 | Rapporterad |
Slutsatsen för säkerhetsansvariga är att strategin inte kan begränsas till att bara hålla koll på en enda leverantörs patchcykel. Hela kategorin av internetexponerad fjärråtkomst- och applikationsleveransinfrastruktur kräver kontinuerlig bevakning, oavsett vilken specifik produkt en organisation råkar köra.
Vad som fortfarande är okänt
Trots den relativt snabba och transparenta hanteringen från F5:s sida finns det flera luckor i den offentliga bilden. Ingen av de granskade rådgivningarna från CERT-EU, CERT-FR, BSI eller F5 själva namnger en specifik hotaktör, ett skadeprogram eller en bekräftad drabbad organisation. Det innebär att påståenden om att en viss myndighet, bank eller nordisk organisation redan komprometterats bör betraktas som obekräftade tills separat incidentrapportering bekräftar det.
På samma sätt saknas det för närvarande en tillförlitlig, verifierad siffra på exakt hur många internetexponerade BIG-IP-installationer som kör den sårbara OAuth-konfigurationen globalt eller i Norden specifikt. En synlig BIG-IP-tjänst i en extern skanning bevisar inte att APM är aktiverad, och än mindre att den är konfigurerad som auktoriseringsserver, vilket gör grova exponeringssiffror baserade på enbart bannerskanning missvisande. Det korrekta sättet att bedöma sin egen risk är alltså att kontrollera den faktiska konfigurationen internt, inte att förlita sig på externa exponeringsstatistik.
Så prioriterar säkerhetsteam rätt just nu
Med flera samtidiga kritiska sårbarheter i fjärråtkomstprodukter under samma vecka blir prioritering avgörande. Ett praktiskt tillvägagångssätt för svenska organisationer är att först identifiera alla BIG-IP-installationer i miljön, oavsett om de anses “aktiva” eller “legacy”, eftersom glömda testsystem ofta är de som förblir opatchade längst. Därefter bör varje installation kontrolleras specifikt för om APM är konfigurerad som OAuth-auktoriseringsserver, snarare än att anta att hela flottan är antingen säker eller sårbar.
För system som bekräftas sårbara och inte kan patchas inom några timmar bör de kompenserande åtgärderna som beskrivits ovan tillämpas omedelbart, med en tydlig deadline för fullständig patchning inom högst några dagar. Organisationer som omfattas av NIS2-regelverket bör också dokumentera sin hantering av händelsen som en del av sin incidentresponsprocess, eftersom tillsynsmyndigheter i allt högre grad efterfrågar bevis på att kända kritiska sårbarheter åtgärdats inom rimlig tid efter offentliggörande.
Fem förutsägelser för hösten 2026
- Fler detaljer om konkreta drabbade organisationer kommer sannolikt att offentliggöras under oktober 2026, i takt med att incidentresponsteam slutför sina utredningar av tidiga intrångsförsök.
- Fler CERT-organisationer i Norden, inklusive norska NSM och danska CFCS, väntas publicera egna rådgivningar om CVE-2026-94127 under de kommande veckorna, även om CERT-SE ännu inte gått ut med en separat notis specifikt om denna sårbarhet.
- Efterfrågan på extern attackyteövervakning och kontinuerlig konfigurationsrevision för fjärråtkomstprodukter väntas öka bland svenska säkerhetsteam under resten av 2026, driven av den samlade vågen av Cisco-, Citrix- och F5-sårbarheter under samma period.
- Ytterligare kritiska sårbarheter i konkurrerande fjärråtkomstplattformar är sannolika innan året är slut, givet mönstret av upprepade allvarliga fel i hela produktkategorin under 2026.
- Organisationer som omfattas av NIS2 kommer sannolikt att möta hårdare krav från tillsynsmyndigheter på dokumenterad patchhantering av just den här typen av internetexponerad infrastruktur, särskilt efter flera uppmärksammade svenska ransomware-incidenter under året.
Vanliga frågor om CVE-2026-94127
Vad är CVE-2026-94127?
Det är en kritisk, oautentiserad sårbarhet i F5 BIG-IP Access Policy Manager som gör det möjligt för en angripare att fjärrköra kod på ett sårbart system, förutsatt att APM är konfigurerad som OAuth-auktoriseringsserver.
Hur allvarlig är sårbarheten?
Den har fått CVSS-poängen 9,8 av 10, vilket klassas som kritisk, och F5 har bekräftat att den redan utnyttjas aktivt i verkligheten.
Vilka BIG-IP-versioner är drabbade?
Version 21.1.0, versionerna 17.5.0 till 17.5.1, samt versionerna 17.1.0 till 17.1.3 av BIG-IP APM, samtliga innan respektive hotfix installerats.
Måste jag använda OAuth för att vara sårbar?
Ja. F5 bekräftar att felet endast finns när APM är konfigurerad som OAuth-auktoriseringsserver. Installationer som enbart använder APM som OAuth-klient eller resursserver påverkas inte.
Räcker det att köra Appliance Mode för att vara skyddad?
Nej. F5 har specifikt bekräftat att system i Appliance Mode också är sårbara, trots att det läget normalt marknadsförs som extra härdat.
Finns det en patch tillgänglig?
Ja, F5 har släppt specifika hotfixar för samtliga tre drabbade versionsgrenar. Administratörer bör installera exakt det hotfix-paket som gäller för deras version snarare än att anta att en generell uppgradering räcker.
Har CERT-SE gått ut med en egen varning?
CERT-SE:s veckobrev för vecka 38 tar upp flera samtidiga hot mot fjärråtkomstinfrastruktur, men innehåller inte en separat, namngiven notis specifikt om CVE-2026-94127 i det underlag som finns tillgängligt vid publicering av denna artikel.
Vad bör jag göra om jag inte kan patcha direkt?
Kontrollera om APM verkligen är konfigurerad som auktoriseringsserver, ta bort onödiga OAuth-profiler, begränsa exponeringen av de virtuella servrarna och övervaka loggar för avvikande trafik i väntan på ett planerat patchfönster.
