U kolovozu 2025. otkriveno je da je državno sponzorirani napadač dugotrajno imao pristup te preuzimao datoteke s određenih F5 sustava. Ti sustavi uključivali su razvojno okruženje proizvoda BIG-IP i platforme za upravljanje inženjerskim znanjem. Poduzete su opsežne mjere za suzbijanje napadača. Od početka tih aktivnosti nisu uočene nove neovlaštene aktivnosti.

Kao odgovor na ovaj incident, u F5 poduzimaju proaktivne mjere za zaštitu korisnika i jačanje sigurnosnog okvira korporativnih i proizvodnih okruženja. Angažirali su stručnjake iz CrowdStrikea, Mandianta i drugih vodećih tvrtki u području kibernetičke sigurnosti te aktivno surađuju s policijom i vladinim partnerima. 

Objavljene su nadogradnje za BIG-IP, F5OS, BIG-IP Next za Kubernetes, BIG-IQ i APM klijente. Više informacija dostupno je u Kvartalnom sigurnosnom izvješću – listopad 2025. Preporučuje se instalacija nadogradnji što je prije moguće. 

Što se zna? 

Na temelju dostupnih logova: 

• Utvrđeno je da je napadač preuzeo datoteke iz razvojno-proizvodnog okruženja BIG-IP i platforme za upravljanje inženjerskim znanjem. Te datoteke sadržavale su dio izvornog kôda BIG-IP i informacije o neotkrivenim ranjivostima na kojima je rađeno. Ne postoje saznanja o kritičnim ili udaljenim ranjivostima za koje javnost nije obaviještena niti o aktivnom iskorištavanju takvih ranjivosti. 
• Ne postoje dokazi o pristupu ili preuzimanju podataka iz CRM, financijskih, sustava za upravljanje podrškom ili iHealth sustava. Ipak, neke preuzete datoteke s platforme za upravljanje znanjem sadržavale su konfiguracijske ili implementacijske informacije za mali postotak korisnika. Trenutno se te datoteke pregledavaju i prema potrebi komunicirat će se izravno s pogođenim korisnicima. 
• Ne postoje dokazi o izmjenama u softverskom opskrbnom lancu, uključujući izvorni kôd te build i release pipeline. Ovo je potvrđeno neovisnim pregledima vodećih tvrtki za kibernetičku sigurnost NCC Group i IOActive. 
• Ne postoje dokazi da je napadač pristupio ili izmijenio NGINX izvorni kôd ili razvojno okruženje proizvoda, niti da je pristupio ili mijenjao F5 Distributed Cloud Services ili Silverline sustave. 

Što možete učiniti? 

Prioritet je pomoći korisnicima da ojačaju i zaštite svoje F5 okruženje od rizika povezanih s ovim incidentom. Dostupni su sljedeći resursi: 

• Nadogradnja BIG-IP softvera: Dostupna je nadogradnja za BIG-IP, F5OS, BIG-IP Next za Kubernetes, BIG-IQ i APM klijente. Iako ne postoje saznanja o neotkrivenim kritičnim ranjivostima, preporučuje se da se nadogradnja instalira što prije. Više informacija dostupno je u Kvartalnom sigurnosnom izvješću. 
• Obavještavanje o prijetnjama: F5 podrška nudi vodič za otkrivanje prijetnji kako bi se ojačala detekcija i nadzor u vašem okruženju. 
• Preporuke za jačanje sigurnosti: Objavljene su najbolje prakse za jačanje F5 sustava i dodane su automatske provjere u F5 iHealth Diagnostic Tool, koje otkrivaju ranjivosti, prioritiziraju akcije i pružaju poveznice na upute za otklanjanje problema. 
• Integracija sa SIEM i nadzor: Preporučuje se omogućavanje BIG-IP event streaminga u vaš SIEM i pružanje detaljnih uputa za konfiguraciju sysloga (KB13080) i praćenje pokušaja prijave (KB13426). Ovo poboljšava vidljivost i obavještavanje o administrativnim prijavama, neuspjelim autentikacijama i promjenama privilegija i konfiguracija. 

Globalni tim podrške: Možete otvoriti MyF5 podršku ili kontaktirati F5 podršku za pomoć pri ažuriranju BIG-IP softvera, implementaciji preporuka ili za sva pitanja. Stranica će se redovito ažurirati novim informacijama i resursima. 

Što je napravljeno? 

Poduzeti su, I dalje se poduzimaju značajni koraci za zaštitu korisnika kroz otklanjanje prijetnje i jačanje sigurnosti ključne infrastrukture i proizvoda. 

Od početka rješavanja incidenta: 

• Promijenjeni su pristupni podaci i ojačane kontrole pristupa u svim sustavima. 
• Implementirana su poboljšanja u automatizaciji inventara i upravljanju zakrpama te dodatni alati za nadzor i otkrivanje prijetnji. 
• Ojačana je mrežna sigurnosna arhitektura. 
• Ojačano je razvojno okruženje proizvoda, uključujući sigurnosne kontrole i nadzor svih platformi za razvoj softvera. 

Dodatne mjere za jačanje sigurnosti proizvoda: 

• Nastavlja se s pregledom kôda i penetracijskim testiranjem uz podršku NCC Group i IOActive kako bi se otkrile i otklonile ranjivosti u kôdu. 
• Suradnja s CrowdStrikeom za proširenje Falcon EDR senzora i Overwatch Threat Huntinga na BIG-IP radi veće vidljivosti i jačanja obrane. Rano izdanje bit će dostupno BIG-IP korisnicima, a svim podržanim korisnicima F5 pružit će besplatnu pretplatu na Falcon EDR.