BIG-IP APM, BIG-IP DNS：验证会话操作

本文回顾2026-05-16的情况，于2026年10月27日编写。日期指所分析的那一天；下方另列来源的首次发布日期及修订日期。

通告对实际环境意味着什么

起点是2026-05-15发布的CERTFR-2026-AVI-0591。其范围包括BIG-IP APM, BIG-IP DNS, BIG-IP Advanced WAF/ASM, BIG-IP, BIG-IP Next for Kubernetes, F5 DoS for NGINX, BIG-IP Next SPK, BIG-IP SSL Orchestrator, NGINX Open Source, BIG-IP BIG-IP Advanced WAF/ASM and BIG-IP DDoS Hybrid Defender, NGINX Gateway Fabric, BIG-IP Next CNF，所列影响为远程代码执行, 权限提升, 拒绝服务, 机密性受损, 数据篡改, 安全控制绕过, 跨站请求伪造（CSRF）。这些陈述针对通告的整体范围，并不表示每项影响都适用于每个产品或每个CVE。

本案例涉及43条版本记录和51个CVE编号。必须按组件跟踪修复；整体更新成功并不能证明BIG-IP APM和F5 WAF for NGINX都已获得各自需要的补丁。

需要检查的产品和版本

来源编号

CERTFR-2026-AVI-0591

来源首次发布

2026-05-15

截至分析日可用的最新修订

2026-05-15

所列组件

BIG-IP APM, BIG-IP DNS, BIG-IP Advanced WAF/ASM, BIG-IP, BIG-IP Next for Kubernetes, F5 DoS for NGINX, BIG-IP Next SPK, BIG-IP SSL Orchestrator, NGINX Open Source, BIG-IP BIG-IP Advanced WAF/ASM and BIG-IP DDoS Hybrid Defender, NGINX Gateway Fabric, BIG-IP Next CNF, NGINX App Protect DoS, NGINX App Protect WAF, NGINX Ingress Controller, NGINX Instance Manager, NGINX Plus, BIG-IQ Centralized Management, BIG-IP PEM, F5 WAF for NGINX

CVE编号

CVE-2026-41227, CVE-2026-39458, CVE-2026-42781, CVE-2026-42780, CVE-2026-40701, CVE-2026-42920, CVE-2026-42409, CVE-2026-42946, CVE-2026-42937, CVE-2026-42919, CVE-2026-42934, CVE-2026-42406, CVE-2026-40435, CVE-2026-34176, CVE-2026-40629, CVE-2026-32673, CVE-2026-41953, CVE-2026-40061, CVE-2026-42924, CVE-2026-41225, CVE-2026-35062, CVE-2026-40423, CVE-2026-34019, CVE-2026-42926 … (+27)

组件	公开条件
BIG-IP APM	17.1.0 – 17.1.3 : < 17.1.3.1
BIG-IP DNS	17.1.0 – 17.1.3 : < 17.1.3.1
BIG-IP Advanced WAF/ASM	17.1.0 – 17.1.3 : < 17.1.3.1
BIG-IP	17.1.0 – 17.1.3 : < 17.1.3.1
BIG-IP Next for Kubernetes	2.x : < 2.2.0
BIG-IP	16.1.0 – 16.1.6 : < 17.1.3
BIG-IP DNS	17.5.0 – 17.5.1 : < 21.0.0
BIG-IP Next SPK	1.7.0 – 1.7.16 : < 1.7.17
BIG-IP	21.0.x : < 21.0.0.2
BIG-IP SSL Orchestrator	21.0.0 : < 21.0.0.1 (SSL Orchestrator 13.1.3)
BIG-IP Next SPK	2.0.0 – 2.0.2 : < 2.0.3
NGINX Open Source	1.0.0 – 1.30.0 : < 1.30.1
BIG-IP BIG-IP Advanced WAF/ASM and BIG-IP DDoS Hybrid Defender	17.1.0 – 17.1.3 : < 17.1.3.1
BIG-IP Next CNF	2.0.0 – 2.0.2 : < 2.0.3
BIG-IP APM	17.5.0 – 17.5.1 : < 17.5.1.4
BIG-IP SSL Orchestrator	17.1.0 – 17.1.3 : < 17.1.3.1 (SSL Orchestrator 12.3.2)
BIG-IP	17.5.0 – 17.5.1 : < 21.0.0.2
NGINX Open Source	0.3.50 – 0.9.7 : < 1.30.1
BIG-IP DNS	21.0.x : < 21.0.0.1
BIG-IP BIG-IP Advanced WAF/ASM and BIG-IP DDoS Hybrid Defender	17.5.0 – 17.5.1 : < 17.5.1.4
NGINX Plus	R36 : < R36 P4
BIG-IQ Centralized Management	8.4.0 : < 8.4.1
BIG-IP SSL Orchestrator	17.5.0 – 17.5.1 : < 17.5.1.4 (SSL Orchestrator 12.3.2)
BIG-IP Next CNF	1.1.0 – 1.4.0 : < 1.4.1
BIG-IP PEM	17.1.0 – 17.1.3 : < 17.1.3.1
BIG-IP APM	21.0.x : < 21.0.0.1
BIG-IP DNS	16.1.0 – 16.1.6 : < 17.1.3.1
BIG-IP PEM	21.0.x : < 21.0.0.1
BIG-IP Advanced WAF/ASM	17.5.0 – 17.5.1 : < 17.5.1.4
BIG-IP Advanced WAF/ASM	21.0.x : < 21.0.0.1
BIG-IP PEM	17.5.0 – 17.5.1 : < 17.5.1.4
NGINX Plus	R32 : < R32 P6

对于BIG-IP APM，公开条件为“17.1.0 – 17.1.3 : < 17.1.3.1”。应在其所属分支内，将实际加载版本与该条件比对。修复另一种BIG-IP APM, BIG-IP DNS发行版不能作为本案例关闭的依据。

机制与前提条件

CSRF可以滥用已通过认证的会话。检查敏感操作的来源验证、反CSRF令牌和Cookie设置；认证本身不能保护所有操作。

由f5发布的一手记录CVE-2026-41227涉及BIG-IP，所采用的修订日期为2026-05-13。此范围与CERTFR-2026-AVI-0591中的集成产品及产品组分别展示。

CVE-2026-41227的公开评分为CVSS 4.0，8.7/10。下方向量描述技术前提，不表示攻击频率或某个部署被攻陷的概率。

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

攻击向量

网络

预先所需权限

无需

用户交互

无需

复杂度

低

额外攻击前提

无需

弱点分类

CWE-770

选择合适的处置措施

1. 定位BIG-IP APM实例、运行版本和负责人，将条件17.1.0 – 17.1.3 : < 17.1.3.1与CERTFR-2026-AVI-0591一同记录。
2. 将安装分支与BIG-IP APM厂商说明比对，准备该分支的升级包和依赖服务测试，并保存变更前状态。
3. 修改BIG-IP APM后再次获取实际加载版本，验证下述业务流程。每项例外都需要负责人、暴露减轻措施和到期日期。

在真实业务流程中验证修复

需为BIG-IP APM, BIG-IP DNS调整的验证场景：对BIG-IP APM，从每个可到达服务的网络区测试获准业务流，并确认管理访问限制。如果存在冗余节点，应在计划维护窗口中检查两端及切换后的规则保持情况。 这是防御性检查建议，并非声称已在第三方系统上完成测试。

CERTFR-2026-AVI-0591的分析边界：本文不能替代厂商前提要求或本组织的日志调查。只展示文档明确记载的版本，不虚构攻击日期或受害者。

本案例的具体问题

BIG-IP APM需要检查什么条件？

CERTFR-2026-AVI-0591记载BIG-IP APM — 17.1.0 – 17.1.3 : < 17.1.3.1。应核实发行版和实际运行版本，不能将边界推广到通告未涉及的分支。

为什么不能用一个补丁统一处理BIG-IP APM和F5 WAF for NGINX？

CERTFR-2026-AVI-0591在43条记录中分别列出这些组件。各分支都需要与其更新说明及功能测试对应。

记录CVE-2026-41227明确了哪些前提？

CVE-2026-41227公开向量为CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N。将其用于CERTFR-2026-AVI-0591所列集成产品前，应在BIG-IP上核实各项条件。

来源与相关分析

• CERT-FR · CERTFR-2026-AVI-0591
• 厂商与修复信息 · my.f5.com
• CVE-2026-41227 · CNA

实用指南 : 网络风险评估：优先级清单

进一步理解本案例的处置决策

• NGINX Plus, NGINX Open Source：限制代码执行影响
• ArubaOS-CX：恢复访问控制

原始通报的完整清单

文章表格可能只是节选。以下列出指定修订版中的全部受影响系统条目与CVE。这不是贵方资产清单，也不代表每个CVE都影响每种产品。

官方来源 · CERTFR-2026-AVI-0591
通报修订日期 : 2026-05-15 · 核查日期 : 2026-10-31

受影响系统 · 43

保留法语原文，以免版本条件的翻译产生歧义。

1. BIG-IP APM versions 17.1.0 à 17.1.3 antérieures à 17.1.3.1
2. BIG-IP DNS versions 17.1.0 à 17.1.3 antérieures à 17.1.3.1
3. BIG-IP Advanced WAF/ASM versions 17.1.0 à 17.1.3 antérieures à 17.1.3.1
4. BIG-IP versions 17.1.0 à 17.1.3 antérieures à 17.1.3.1
5. BIG-IP Next for Kubernetes versions 2.x antérieures à 2.2.0
6. F5 DoS for NGINX versions 4.8.0
7. BIG-IP versions 16.1.0 à 16.1.6 antérieures à 17.1.3
8. BIG-IP DNS versions 17.5.0 à 17.5.1 antérieures à 21.0.0
9. BIG-IP Next SPK versions 1.7.0 à 1.7.16 antérieures à 1.7.17
10. BIG-IP versions 21.0.x antérieures à 21.0.0.2
11. BIG-IP SSL Orchestrator versions 21.0.0 antérieures à 21.0.0.1 (SSL Orchestrator 13.1.3)
12. BIG-IP Next SPK versions 2.0.0 à 2.0.2 antérieures à 2.0.3
13. NGINX Open Source versions 1.0.0 à 1.30.0 antérieures à 1.30.1
14. BIG-IP BIG-IP Advanced WAF/ASM and BIG-IP DDoS Hybrid Defender versions 17.1.0 à 17.1.3 antérieures à 17.1.3.1
15. NGINX Gateway Fabric versions 1.3.0 à 1.6.2
16. BIG-IP Next CNF versions 2.0.0 à 2.0.2 antérieures à 2.0.3
17. NGINX App Protect DoS versions 4.3.0 à 4.7.0
18. BIG-IP APM versions 17.5.0 à 17.5.1 antérieures à 17.5.1.4
19. NGINX App Protect WAF versions 4.9.0 à 4.16.0
20. BIG-IP SSL Orchestrator versions 17.1.0 à 17.1.3 antérieures à 17.1.3.1 (SSL Orchestrator 12.3.2)
21. NGINX Ingress Controller versions 5.0.0 à 5.4.2
22. BIG-IP versions 17.5.0 à 17.5.1 antérieures à 21.0.0.2
23. NGINX Ingress Controller versions 3.5.0 à 3.7.2
24. NGINX Open Source versions 0.3.50 à 0.9.7 antérieures à 1.30.1
25. BIG-IP DNS versions 21.0.x antérieures à 21.0.0.1
26. NGINX Instance Manager versions 2.16.0 à 2.21.1
27. BIG-IP BIG-IP Advanced WAF/ASM and BIG-IP DDoS Hybrid Defender versions 17.5.0 à 17.5.1 antérieures à 17.5.1.4
28. NGINX Plus versions R36 antérieures à R36 P4
29. BIG-IQ Centralized Management versions 8.4.0 antérieures à 8.4.1
30. BIG-IP SSL Orchestrator versions 17.5.0 à 17.5.1 antérieures à 17.5.1.4 (SSL Orchestrator 12.3.2)
31. BIG-IP Next CNF versions 1.1.0 à 1.4.0 antérieures à 1.4.1
32. NGINX App Protect WAF versions 5.1.0 à 5.8.0
33. NGINX Gateway Fabric versions 2.0.0 à 2.6.0
34. NGINX Ingress Controller versions 4.0.0 à 4.0.1
35. BIG-IP PEM versions 17.1.0 à 17.1.3 antérieures à 17.1.3.1
36. BIG-IP APM versions 21.0.x antérieures à 21.0.0.1
37. BIG-IP DNS versions 16.1.0 à 16.1.6 antérieures à 17.1.3.1
38. BIG-IP PEM versions 21.0.x antérieures à 21.0.0.1
39. BIG-IP Advanced WAF/ASM versions 17.5.0 à 17.5.1 antérieures à 17.5.1.4
40. BIG-IP Advanced WAF/ASM versions 21.0.x antérieures à 21.0.0.1
41. BIG-IP PEM versions 17.5.0 à 17.5.1 antérieures à 17.5.1.4
42. NGINX Plus versions R32 antérieures à R32 P6
43. F5 WAF for NGINX versions 5.9.0 à 5.12.1

CVE编号 · 51

• CVE-2026-41227
• CVE-2026-39458
• CVE-2026-42781
• CVE-2026-42780
• CVE-2026-40701
• CVE-2026-42920
• CVE-2026-42409
• CVE-2026-42946
• CVE-2026-42937
• CVE-2026-42919
• CVE-2026-42934
• CVE-2026-42406
• CVE-2026-40435
• CVE-2026-34176
• CVE-2026-40629
• CVE-2026-32673
• CVE-2026-41953
• CVE-2026-40061
• CVE-2026-42924
• CVE-2026-41225
• CVE-2026-35062
• CVE-2026-40423
• CVE-2026-34019
• CVE-2026-42926
• CVE-2026-20916
• CVE-2026-41957
• CVE-2026-39455
• CVE-2026-40618
• CVE-2026-40631
• CVE-2026-32643
• CVE-2026-41217
• CVE-2026-40698
• CVE-2026-39459
• CVE-2026-40703
• CVE-2026-28758
• CVE-2026-41954
• CVE-2026-40699
• CVE-2026-40462
• CVE-2026-41219
• CVE-2026-24464
• CVE-2026-40067
• CVE-2026-42063
• CVE-2026-42408
• CVE-2026-40060
• CVE-2026-42945
• CVE-2026-41956
• CVE-2026-41218
• CVE-2026-41959
• CVE-2026-42930
• CVE-2026-40460
• CVE-2026-42058