Pembobolan F5: Kode Sumber BIG-IP Dicuri dan Celah APM Dieksploitasi

Pembobolan F5 menjadi pengingat bahwa vendor keamanan sendiri adalah target: pada Oktober 2025 F5 mengungkap bahwa peretas yang disebut berafiliasi dengan negara mencuri sebagian kode sumber BIG-IP dan data kerentanan yang belum diumumkan. Setahun kemudian, pada September 2026, celah F5 BIG-IP APM CVE-2026-94127 dieksploitasi sebagai zero-day. Dua kejadian ini saling melengkapi bagi tim yang mengelola perangkat F5.

Ringkasan: Insiden F5 dan Celah APM CVE-2026-94127

• Insiden Oktober 2025: F5 mengetahui pembobolan pada 9 Agustus 2025 dan mengumumkannya pada 15 Oktober 2025. Pada 12 September 2025 Departemen Kehakiman AS menilai penundaan pengungkapan publik beralasan.
• Yang dicuri menurut F5: sebagian kode sumber BIG-IP, informasi kerentanan yang belum diumumkan, dan detail konfigurasi serta implementasi milik sejumlah kecil pelanggan.
• CVE-2026-94127: heap-based buffer overflow di BIG-IP Access Policy Manager (APM) yang dapat berujung eksekusi kode jarak jauh tanpa autentikasi. CVSS 3.1 9,8 dan CVSS 4.0 9,3, dinilai F5 pada catatan CVE. Advisori F5 K000162605. Versi terdampak: 21.1.0, 17.5.0 sampai 17.5.1, dan 17.1.0 sampai 17.1.3.
• Syarat kerentanan: menurut F5, hanya bila APM dikonfigurasi sebagai OAuth Authorization Server dengan kebijakan akses dan profil OAuth pada sebuah virtual server. APM yang hanya berperan sebagai OAuth Client atau Resource Server tidak terdampak.
• Status eksploitasi: F5 menyatakan celah ini sudah dieksploitasi dan masuk CISA KEV pada 22 September 2026. Perbaikan berupa hotfix dari F5.

Apa yang Terjadi pada Pembobolan F5

F5 menyatakan pelaku memiliki akses jangka panjang ke lingkungan pengembangan produk BIG-IP dan platform manajemen pengetahuan teknik (engineering knowledge management platform). F5 menegaskan tidak menemukan bukti kompromi rantai pasok perangkat lunak atau perubahan kode yang mencurigakan, tidak melihat bukti bahwa informasi yang dicuri dipakai menyerang pelanggan, dan sistem CRM, keuangan, support case management, serta iHealth dilaporkan tidak terdampak. Kode NGINX, F5 Distributed Cloud Services, dan Silverline juga disebut tidak terkena.

Peninjau independen dilibatkan. NCC Group memeriksa komponen kritis BIG-IP dan bagian dari pipeline pengembangan dengan melibatkan 76 konsultan, sementara tinjauan IOActive masih berjalan saat pengumuman dan sejauh itu tidak menemukan kerentanan yang disisipkan. F5 juga merotasi sertifikat dan kunci penandatanganan produk digitalnya, yang berdampak pada instalasi image BIG-IP dan BIG-IQ TMOS bila verifikasi tanda tangan ISO aktif, serta instalasi image tenant F5OS.

Siapa Pelakunya? Atribusi Masih Terbatas

F5 hanya menyebut pelaku sebagai aktor yang berafiliasi dengan negara (nation-state) dan tidak menyebut negara atau kelompok tertentu. CISA dalam ED 26-01 juga memakai sebutan aktor yang berafiliasi dengan negara. Bila Anda menemukan klaim atribusi ke negara atau kelompok tertentu, perlakukan sebagai belum terbukti selama tidak dikonfirmasi F5 atau lembaga pemerintah.

Arahan CISA ED 26-01 dan Mengapa Dampaknya Luas

Pada 15 Oktober 2025 CISA menerbitkan Emergency Directive 26-01 untuk lembaga federal AS. CISA menilai pencurian ini sebagai ancaman mendesak (imminent threat) bagi jaringan federal, karena kode sumber dan informasi kerentanan memberi pelaku keunggulan teknis untuk menemukan dan mengeksploitasi celah produk F5. Isi arahannya patut ditiru organisasi mana pun:

• Inventarisasi seluruh perangkat dan perangkat lunak F5, termasuk perangkat keras BIG-IP iSeries dan rSeries, BIG-IP (F5OS dan TMOS), Virtual Edition, BIG-IP Next, BIG-IQ, dan BNK/CNF.
• Periksa apakah antarmuka manajemen dapat dijangkau dari internet publik.
• Pasang pembaruan terbaru: batas 22 Oktober 2025 untuk F5OS, TMOS, BIG-IQ, dan BNK/CNF, serta 31 Oktober 2025 untuk perangkat lainnya.
• Putuskan dan hentikan penggunaan perangkat F5 yang menghadap publik dan sudah melewati masa dukungan (end of support).
• Setelah itu, pasang pembaruan berikutnya dalam satu minggu sejak dirilis vendor.

NCSC Inggris dan CISA juga menyarankan memastikan tidak ada antarmuka manajemen yang terbuka ke web publik, dan melakukan compromise assessment bila ditemukan.

Celah APM yang Dieksploitasi dan Cara Mengecek Paparan F5 BIG-IP

Menurut SecurityWeek, F5 menemukan CVE-2026-94127 secara internal, lalu menyatakan celah itu sudah dieksploitasi. Tidak ada pernyataan F5 maupun CISA yang mengaitkannya dengan data yang dicuri pada 2025. Langkah praktis untuk tim Anda:

1. Cari semua F5 BIG-IP, termasuk yang dipasang vendor atau mitra, lalu catat versi dan modul yang aktif.
2. Periksa APM. Tentukan apakah APM dipakai dan apakah dikonfigurasi sebagai OAuth Authorization Server pada virtual server yang terbuka ke internet.
3. Pasang hotfix sesuai advisori K000162605. Detail versi perbaikan ada di halaman F5.
4. Cek indikator kompromi. Menurut SecurityWeek, F5 menerbitkan tiga indikator di advisorinya, dan kemunculan ketiganya secara bersamaan dan berulang patut dikaitkan dengan serangan.
5. Batasi akses manajemen hanya dari jaringan manajemen atau jump host. F5 juga menyarankan mengirim event BIG-IP ke SIEM dan log ke server remote syslog.
6. Gunakan alat F5 seperti iHealth Diagnostic Tool dan panduan threat hunting yang disediakan vendor.

Pelajari alasan perangkat sejenis selalu diburu di keamanan perangkat edge, dan gunakan CISA KEV sebagai dasar prioritas. Sumber teknis tersedia pada laporan BleepingComputer.

Relevansi bagi Indonesia

BIG-IP lazim dipakai organisasi besar sebagai load balancer, WAF, dan gateway akses, termasuk di Indonesia. Pembobolan vendor berarti Anda tidak cukup mengandalkan hardening di sisi sendiri. Pastikan ada inventaris aset yang akurat, kontrak dukungan yang masih berlaku, dan prosedur patch darurat. Bagi penyelenggara sistem elektronik, insiden pada perangkat pengolah data pribadi juga dapat memicu kewajiban pelindungan data, seperti dibahas pada kewajiban UU PDP.

Pelajaran Manajemen Risiko Vendor

Insiden ini mengajarkan bahwa risiko rantai pasok tidak hanya soal paket perangkat lunak yang disusupi. Bocornya informasi tentang kelemahan produk yang belum diumumkan sudah cukup memberi keuntungan teknis bagi penyerang. Tim keamanan sebaiknya memasukkan vendor perangkat tepi ke dalam daftar risiko, memantau pengumuman keamanan vendor, dan menetapkan SLA patch internal untuk perangkat yang menghadap internet. Dokumentasikan juga siapa yang berwenang menyetujui patch darurat di luar jadwal rutin, agar keputusan tidak tertunda saat advisori berstatus eksploitasi aktif muncul.

Baca juga: ArcaneDoor dan Celah Cisco ASA, FTD, serta FMC, Celah Webmail Roundcube dan Zimbra yang Dieksploitasi.

Pertanyaan yang Sering Diajukan

Apakah BIG-IP buatan F5 aman dipakai setelah pembobolan?

Menurut F5 dan peninjau independen yang dilibatkannya, tidak ditemukan bukti bahwa kode sumber kritis atau pipeline build dimanipulasi. Namun pasang pembaruan terbaru dan jaga antarmuka manajemen tetap tertutup dari internet.

Apakah CVE-2026-94127 berasal dari data yang dicuri?

Tidak ada pernyataan resmi yang menghubungkannya. Menurut SecurityWeek, F5 menemukan celah ini secara internal. Jangan menyimpulkan hubungan tanpa bukti.

Apakah arahan CISA berlaku untuk perusahaan swasta?

Secara hukum hanya untuk lembaga federal AS, tetapi langkahnya, yaitu inventaris, pembatasan manajemen, dan patch cepat, relevan bagi semua organisasi.

Kesimpulan

Per 29 Oktober 2026, rangkaian insiden F5 menunjukkan dua risiko sekaligus: vendor yang dibobol dan celah produk yang dieksploitasi sebagai zero-day. Mulailah dari inventaris, tutup akses manajemen, dan terapkan patch tanpa menunda. Bila Anda ingin menguji apakah perangkat tepi Anda benar-benar terlindungi, lihat layanan asesmen keamanan Linuxhackingid.