Mobile-Menu

EUVD-2025-34630 / CVE-2025-53521 Schwachstelle für RCE-Angriffe auf F5 BIG-IP aktiv missbraucht

Von Melanie Staudacher 2 min Lesedauer

Eine ehemals DoS-Schwachstelle wurde neu eingestuft: als kritische RCE-Anfälligkeit. Betroffen sind mehrere Versionen von F5s BIG-IP Access Policy Manager. Nutzer sollten dringend patchen.

Die als EUVD-2025-34630/CVE-2025-53521 bekannte Schwachstelle wird aktiv ausgenutzt und könnte mehrere Tausend Instanzen betreffen.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
Die als EUVD-2025-34630/CVE-2025-53521 bekannte Schwachstelle wird aktiv ausgenutzt und könnte mehrere Tausend Instanzen betreffen.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Die CISA hat Ende März 2026 eine Sicherheitslücke in der BIG-IP-Produktfamilie von F5 in ihren Katalog der known exploited vulnerabilities aufgenommen und US-Behörden drei Tage Zeit ge­geben, sie zu schließen. Diese kurze Reaktionszeit lässt sich dadurch erklären, dass die Schwach­stelle bereits aktiv für Remote-Code-Execution-Angriffe ausgenutzt wird.

Sicherheitslücke neu eingestuft

Bei der Schwachstelle handelt es sich um EUVD-2025-34630 / CVE-2025-53521 (CVSS-Score 7.5, EPSS-Score* 19.16). Sie betrifft BIG IP Access Policy Manager (APM) und dient der zentralen Zugriffsverwaltung von Proxys, damit Admins den Nutzerzugriff auf Netzwerke, die Cloud, An­wendungen und APIs sichern und verwalten können. Ist eine APM-Zugriffsrichtlinie auf einem virtuellen Server konfiguriert, können bösartige Akteure den TMM‑Prozess (Traffic Ma­nage­ment Microkernel), der den Datenverkehr verarbeitet, zum Absturz bringen und Remote Code ausführen.

Die Schwachstelle stammt ursprünglich aus Oktober 2025, F5 hat sein Security Advisory dazu jedoch im März 2026 geupdatet. Zuerst wurde die Sicherheitslücke nämlich als Denial-of-Service kategorisiert und behoben. Aufgrund neuer Informationen wurde sie neu eingestuft: Als Remote Code Execution und F5 zufolge mit einem höheren Risikoscore von 9.8.

Folgende Versionen von BIG-IP APM sind von EUVD-2025-34630 / CVE-2025-53521 betroffen:

  • 16.1.0 <16.1.6.1
  • 17.5.0 <17.5.1.3
  • 15.1.0 <15.1.10.8
  • 17.1.0 <17.1.3

Außerdem weist der Hersteller darauf hin, dass die Sicherheitslücke in den anfälligen Ver­sionen ausgenutzt wurde. Neben Informationen zur Behebung der Anfälligkeit hat F5 auch Indicators of Compromise veröffentlicht, die Kunden nutzen können, um festzustellen, ob sie von Angriffen betroffen sind.

Tausenden Instanzen möglicherweise angreifbar

Die gemeinnützige Sicherheitsorganisation Shadowserver hat ermittelt, dass über 240.000 BIG-IP-Instanzen aus dem Internet erreichbar sind. Shadowserver gibt jedoch keine Auskunft darüber, wie viele dieser Systeme tatsächlich die verwundbare Konfiguration haben oder be­reits gepatcht wurden. In jedem Fall sollten Nutzer ihre Instanzen wenn möglich vom Internet trennen und updaten.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50803258)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte