Mittel28 / 100Konfidenz: Mittel

CVSS9.8EPSS1 %Über Netz erreichbarOhne AnmeldungOhne Zutun des Nutzers

Umgehende Installation der vom Hersteller bereitgestellten Sicherheitspatches für alle betroffenen F5-Produkte.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 9.8+18
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-18329, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

3 unabhaengige Herausgeber berichten den Sachverhalt
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-09-04 00:00 UTCMethodik

Red Team

Multiples vulnérabilités dans les produits F5 (03 septembre 2026)

CERT-FR·3. September 2026, 00:00

Originalartikel lesen bei CERT-FR

Es wurden mehrere kritische Schwachstellen in F5-Produkten entdeckt, die Angreifern die Ausführung von beliebigem Code, Privilegienerhöhungen und Denial-of-Service-Angriffe ermöglichen. Betroffen sind diverse Versionen von F5 BIG-IP, BIG-IQ, NGINX und APM Clients. Nutzern wird dringend empfohlen, die Sicherheitspatches des Herstellers umgehend zu installieren, um Risiken wie Datenintegritäts- und Vertraulichkeitsverletzungen zu minimieren.

SecBoard-Einordnung

Organisationen, die betroffene F5-Produkte einsetzen, sind einem hohen Risiko von Remote Code Execution, Privilegienerhöhungen und Denial-of-Service-Angriffen ausgesetzt. Dies kann zu erheblichen Betriebsunterbrechungen und potenziellen Datenintegritäts- und Vertraulichkeitsverletzungen führen.

Realistisch schlimmster Fall: Ein Angreifer könnte die Kontrolle über betroffene F5-Produkte erlangen, beliebigen Code ausführen, sich höhere Privilegien verschaffen und Dienste lahmlegen, was zu einem vollständigen Ausfall kritischer Infrastruktur und Datenkompromittierung führen könnte.

Im erfassten Bestand

▸CVE-2026-33278 kommt damit in 3 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

CVE-2026-33278

CVSS: 9.8 · CRITICAL
EPSS: 1.3%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: sep@nlnetlabs.nl

CVE-2026-66842

CVSS: 8.8 · HIGH
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: f5sirt@f5.com

CVE-2026-77180

CVSS: 8.3 · HIGH
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: f5sirt@f5.com

CVE-2026-18329

CVSS: 8.2 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: f5sirt@f5.com

CVE-2026-78689

CVSS: 8.1 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: f5sirt@f5.com

CVE-2026-66362

CVSS: 8.1 · HIGH
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: f5sirt@f5.com

CVE-2026-42959

CVSS: 7.5 · HIGH
EPSS: 0.8%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: sep@nlnetlabs.nl

CVE-2026-78222

CVSS: 7.5 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: f5sirt@f5.com

CVE-2026-63020

CVSS: 3.1 · LOW
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: hoch
Beeinträchtigt: Integrität
Patch: unbekannt
Zuweisende CNA: f5sirt@f5.com

Betroffen

Diverse Versionen von F5 BIG-IP, BIG-IQ, NGINX und APM Clients.

Hersteller

F5Nlnetlabs

Produkte

Big Ip Access Policy ManagerBig Ip Advanced Firewall ManagerBig Ip Advanced Web Application FirewallBig Ip AnalyticsBig Ip Application Acceleration ManagerBig Ip Application Security ManagerBig Ip Application Visibility And ReportingBig Ip Automation ToolchainBig Ip Carrier Grade NatBig Ip Container Ingress ServicesUnbound

▸ CPE-Rohbezeichner anzeigen (11)

cpe:2.3:a:f5:big-ip_access_policy_manager:*:*:*:*:*:*:*:*
cpe:2.3:a:f5:big-ip_advanced_firewall_manager:*:*:*:*:*:*:*:*
cpe:2.3:a:f5:big-ip_advanced_web_application_firewall:*:*:*:*:*:*:*:*
cpe:2.3:a:f5:big-ip_analytics:*:*:*:*:*:*:*:*
cpe:2.3:a:f5:big-ip_application_acceleration_manager:*:*:*:*:*:*:*:*
cpe:2.3:a:f5:big-ip_application_security_manager:*:*:*:*:*:*:*:*
cpe:2.3:a:f5:big-ip_application_visibility_and_reporting:*:*:*:*:*:*:*:*
cpe:2.3:a:f5:big-ip_automation_toolchain:*:*:*:*:*:*:*:*
cpe:2.3:a:f5:big-ip_carrier-grade_nat:*:*:*:*:*:*:*:*
cpe:2.3:a:f5:big-ip_container_ingress_services:*:*:*:*:*:*:*:*
cpe:2.3:a:nlnetlabs:unbound:*:*:*:*:*:*:*:*

Prüfen

▸Überprüfen Sie alle F5 BIG-IP, BIG-IQ, NGINX und APM Client Installationen auf die installierte Version und vergleichen Sie diese mit den Sicherheitshinweisen von F5.
▸Stellen Sie sicher, dass alle F5-Produkte die neuesten Sicherheitspatches gemäß den Empfehlungen des Herstellers installiert haben.

▸ 1 weitere

▸Überprüfen Sie die Netzwerkprotokolle auf ungewöhnliche Aktivitäten oder Zugriffe auf F5-Produkte, die auf eine mögliche Kompromittierung hindeuten könnten.

Offene Punkte

▸ anzeigen

▸Spezifische CVE-Nummern der Schwachstellen sind nicht im Artikel genannt.
▸Detaillierte technische Beschreibungen der Schwachstellen sind nicht im Artikel enthalten.
▸Informationen zu bereits bekannten Ausnutzungen (In-the-Wild-Exploits) sind nicht im Artikel enthalten.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Ja
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Möglich

Kundenfragen

Können wir Execution detektieren?

MITRE ATT&CK(4)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

„Angreifern die Ausführung von beliebigem Code“

T1068Exploitation for Privilege Escalationzugeordnet

„Privilegienerhöhungen“

T1499Endpoint Denial of Servicezugeordnet

„Denial-of-Service-Angriffe“

T1059.007Command and Scripting Interpreter: JavaScriptabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

›

Bewaffnung

›

Zustellung

›

Ausnutzung

›

Einnistung

›

Fernsteuerung

›

Zielhandlung

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

28. Aug.CERT-FRKontext
Multiples vulnérabilités dans les produits IBM (28 août 2026)
02. Sept.SecurityWeekKontext
SonicWall Warns of Two SMA1000 Zero-Days Exploited in Attacks
03. Sept.The Hacker NewsKontext
CISA Adds Seven Exploited Flaws as Attackers Deploy Reverse Shells and Crypto Miners

Der Vorgang wird seit 6 Tagen berichtet.

Quellen & Belege· 3 unterschiedliche Quellen

SecurityWeekKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

SonicWall Warns of Two SMA1000 Zero-Days Exploited in Attacks

The Hacker NewsKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

CISA Adds Seven Exploited Flaws as Attackers Deploy Reverse Shells and Crypto Miners

CERT-FRKontextUNKNOWNdiese Meldung

Quelle nicht eingeordnet.

Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-33278 CVE-2026-66842 CVE-2026-77180 CVE-2026-18329 CVE-2026-78689 CVE-2026-66362 CVE-2026-42959 CVE-2026-78222 CVE-2026-63020

ATT&CK-Heatmap

Vollständigen Artikel lesen bei CERT-FR

Erwähnte CVEs (9)

CVE-2026-33278CRITICAL(9.8)

EPSS 1.3%

NLnet Labs Unbound 1.19.1 up to and including version 1.25.0 has a vulnerability in the DNSSEC validator that enables denial of service and possible remote code execution as a result of deep copying a data structure and erroneously overwriting a destination pointer. An adversary can exploit the vulnerability by controlling a malicious signed zone and querying a vulnerable Unbound. When DS sub-queries need to suspend validation due to NSEC3 computational budget exhaustion (introduced in Unbound 1.19.1), Unbound deep-copies response messages to preserve them across memory region teardown. A struct-assignment bug overwrites the destination's pointer with the source's pointer. After the sub-query region is freed, the resumed validator dereferences this dangling pointer, triggering a crash or potentially enabling arbitrary code execution. Unbound 1.25.1 contains a patch with a fix to preserve the correct pointer when deep copying the data structure.

Details NVD

CVE-2026-66842HIGH(8.8)

EPSS 0.3%

BIG-IP has a vulnerability where an authenticated user of any role may be able to create administrative user accounts through an undisclosed request to Traffic Management User Interface (TMUI). Impact: This vulnerability may allow an authenticated attacker with network access to the BIG-IP management interface to escalate privileges by creating administrative accounts on the BIG-IP system. There is no data plane exposure; this is a control plane issue only. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

Details NVD

CVE-2026-77180HIGH(8.3)

EPSS 0.3%

When NGINX Ingress Controller is configured with Ingress annotations, an injection vulnerability exists in the configuration generator of NGINX Ingress Controller. Multiple user-controllable fields are written into the generated NGINX configuration without sanitization. An authenticated attacker with permission to create or modify these annotations may craft values that inject arbitrary NGINX configuration directives. Impact: An authenticated attacker granted write access to NGINX Ingress Controller Ingress annotations through the Kubernetes API may be able to inject arbitrary NGINX configuration directives, create or delete files, or disable services. There is no data plane exposure; this is a control plane issue only. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

Details NVD

CVE-2026-18329HIGH(8.2)

EPSS 0.4%

Description NGINX JavaScript (njs) and QuickJS (qjs) engines have a vulnerability when a js_access handler performs asynchronous request body processing and an exception is thrown during asynchronous access-control evaluation before an explicit access denial is returned. An unauthenticated attacker can exploit this vulnerability by sending a crafted HTTP request that triggers an error condition in the access validation logic. This may cause the js_access phase to fail open, allowing the request to proceed instead of being denied, resulting in an authentication or authorization bypass and unauthorized access to protected resources. Impact This vulnerability may allow remote attackers to bypass js_access controls. There is no control plane exposure; this is a data plane issue only. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

Details NVD

CVE-2026-78689HIGH(8.1)

EPSS 0.5%

Description NGINX JavaScript (njs) has a vulnerability in the XML module's namespace prefix list parser, reachable through the xml.exclusiveC14n() method. An unauthenticated remote attacker can trigger it when an affected NGINX configuration passes an externally controlled XML namespace prefix list to that method. Both the njs and the QuickJS (qjs) engines are affected. A crafted prefix list causes an out-of-bounds write past the end of a heap allocation. With the njs engine, which is the engine used when the js_engine directive is absent, this corrupts adjacent objects and crashes the NGINX worker. With the QuickJS engine, the same call additionally leaks the prefix list on every invocation, causing worker memory to grow across requests. The official nginxinc/nginx-saml reference implementation is affected during SAML signature verification. It reads InclusiveNamespaces/@PrefixList from an untrusted SAML message and passes it to xml.exclusiveC14n() before the signature has been verified, so a valid SAML signature is not required. A crafted SAML Response, Assertion, LogoutRequest, or LogoutResponse is sufficient. Code execution has not been demonstrated and cannot be ruled out for all platforms, as the effect of the out-of-bounds write depends on conditions beyond the attacker's control. Impact This vulnerability allows remote attackers to cause a denial of service on the NGINX system, either through repeatable worker restarts or through worker memory growth or possibly trigger code execution. There is no control plane exposure; this is a data plane issue only. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

Details NVD

CVE-2026-66362HIGH(8.1)

EPSS 0.3%

Description: When NGINX Plus is configured as the data plane for NGINX Gateway Fabric, an injection vulnerability exists in the NGINX configuration generator component of NGINX Gateway Fabric. User-supplied string values from the Authentication Filter Custom Resource Definition clientID or cookieName fields, or in the clientSecret field of a Secret referenced by an Authentication Filter, are rendered directly into NGINX configuration templates without sanitization or escaping. Impact: An authenticated attacker with permission to create or modify these resources may craft values that inject arbitrary NGINX configuration directives. This is a control plane issue; there is no data plane exposure.

Details NVD

CVE-2026-42959HIGH(7.5)

EPSS 0.8%

NLnet Labs Unbound up to and including version 1.25.0 has a denial of service vulnerability in the DNSSEC validator that can lead to a crash given malicious upstream replies. When Unbound constructs chase-reply messages for validation, the code uses the wrong counter to calculate write offsets for ADDITIONAL section rrsets. DNAME duplication could increase the ANSWER section count and authority filtering could decrease the AUTHORITY section count and create an uninitialized array slot. Combining these two, the validator later dereferences this uninitialized pointer, causing an immediate process crash. An adversary controlling a DNSSEC-signed domain can trigger this bug with a single query by configuring a DNAME chain with unsigned CNAMEs and a response containing unsigned AUTHORITY records alongside signed ADDITIONAL glue records. Unbound 1.25.1 contains a patch with a fix to use the proper counters to calculate the write offsets.

Details NVD

CVE-2026-78222HIGH(7.5)

EPSS 0.4%

A vulnerability exists in NGINX JavaScript where a malformed HTTP response received by ngx.fetch() can crash an NGINX worker when trusted JavaScript reads Response.statusText. Exploitation requires control or influence over the fetched HTTP response. Impact: This vulnerability may allow remote attackers to cause a denial-of-service (DoS) on the NGINX system. There is no control plane exposure; this is a data plane issue only. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

Details NVD

CVE-2026-63020LOW(3.1)

EPSS 0.2%

A vulnerability exists in an undisclosed BIG-IP Configuration utility page that may allow an attacker to spoof error messages Impact: An attacker may trick authenticated BIG-IP users into accessing malicious links and reflect a spoofed error message in the victim's BIG-IP Configuration utility web browser session. This is a control plane issue; there is no data plane exposure. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

Details NVD