LONDON (IT BOLTWISE) – Angreifer nutzen bei F5 BIG-IP Access Policy Manager (APM) eine als Remote Code Execution neu eingeordnete Schwachstelle, um ohne Login eine Kompromittierung anzustoßen. Ein nachgelagerter Schritt injiziert eine PHP-Webshell nicht als Datei auf der Platte, sondern in den Speicher von Apache, wodurch Disk-Scans häufig ins Leere laufen. Sophos beschreibt den Ablauf als mehrstufige Kette, bei der erst Apache selbst und anschließend die PHP-Modul-Funktionsaufrufe manipuliert werden. Betroffen sind bestimmte APM-Konfigurationen auf virtuellen Servern, während die Patch-Fenster je nach Release variieren.
Die jüngsten Analysen zu kompromittierten F5 BIG-IP Access Policy Manager (APM)-Appliances zeigen vor allem eines: Bei der Erkennung reicht es oft nicht, nur nach schadhaften Dateien auf der Festplatte zu suchen. Statt einer klassischen Webshell, die als Datei im Dateisystem liegt und von Forensikern anhand von Hashwerten oder bekannten Dateipfaden identifiziert werden kann, platzieren die Beobachtungen eine PHP-Webshell in den Speicherbereichen, die Apache und das PHP-Modul bereits nutzen. Genau dadurch können Prüfmechanismen, die auf den Inhalt im Dateisystem setzen, einen „sauberen“ Stand melden, obwohl die kompromittierende Logik zur Laufzeit aktiv ist.
Ausgangspunkt ist die Schwachstelle CVE-2025-53521, die F5 zunächst als Denial of Service eingeordnet hatte und später nach neuen Informationen als Remote Code Execution (RCE) neu klassifizierte. Der entscheidende Punkt für Security-Teams ist dabei die Angriffsoberfläche: Ein Login ist für die Ausnutzung nicht nötig, und die Bewertungen liegen auf einem sehr hohen Niveau (9,8 auf CVSS 3.1 und 9,3 auf CVSS 4.0). Die betroffene Stelle betrifft den Bereich, in dem in BIG-IP APM eine Access Policy auf einem virtuellen Server gesetzt ist. Parallel dazu führte die Aufnahme in das US-amerikanische „Known Exploited Vulnerabilities“-Katalogumfeld dazu, dass öffentliche Stellen zügig Maßnahmen priorisieren mussten.
Die von Sophos untersuchte Malware-Funktionalität startet nach den bisherigen Beschreibungen nicht mit „nur“ einer einzelnen Dateiänderung, sondern mit einer Kette, die zuerst Apache im Prozesskontext infiziert. In dem beschriebenen Muster injiziert ein separater Installer (benannt in der Analyse als umount) den Code in das Apache-Programm unter /usr/sbin/httpd, wobei die Größe des hinzugefügten Codes zu den Payload-Daten im Installer passt. Dieses Detail ist für Incident-Responder relevant, weil es die Vermutung stützt, dass der Installer den Schadrumpf exakt in das Zielartefakt einschreibt und nicht nur lose Komponenten nachlädt. In verwandten Analysen wird zudem berichtet, dass der Installer typischerweise als root ausgeführt werden soll und Sicherheitsmechanismen wie SELinux gezielt deaktiviert.
Technisch wird die Speicherinjektion in der Beschreibung besonders anschaulich: Weil die Malware im Apache-Kontext läuft, greift sie zeitlich „früher“ als Apples/Apache-Logik über die Ausführungskette des Webservers. Sophos nennt als Angriffspunkt das Hooken einer Apache Portable Runtime-Funktion (apr_dso_load), bei der die PHP-Erweiterung libphp in den Prozess geladen wird. Ab dem Moment, in dem PHP geladen ist, scannt die Schadsoftware über /proc/self/maps den Speicher, markiert die relevanten Seiten kurzzeitig schreibbar, überschreibt Funktionsaufrufe zum Öffnen, zur Dateigröße und zum Mapping von Dateien und setzt danach die ursprünglichen Berechtigungen wieder zurück. Für Verteidiger ist das der Kern des Erkennungsproblems: Die Datei auf dem Disk kann unverändert bleiben, während das PHP-Modul zur Laufzeit kontrollierte Inhalte „vorfindet“.
Die dabei relevanten PHP-Dateien aus dem BIG-IP APM Webtop-Umfeld werden in der Analyse konkret benannt: apm_css.php3, full_wt.php3 und webtop_popup_css.php3. Entscheidend ist jedoch nicht, ob diese Skripte verändert wurden, sondern wie sie beim Laden aus dem Prozesskontext heraus „ersetzt“ werden. Sobald das betroffene Skript als Abbildung in den Speicher geladen ist, platziert die Malware die Webshell an die Stelle des ursprünglichen Inhalts. Diese Webshell liest den Rohkörper eingehender HTTP-Anfragen, prüft auf ein kurzes Marker-Signal, entschlüsselt den Rest und führt die Payload aus. Auffällig ist dabei die Rückmeldung: Ein HTTP-Statuscode 201 und ein Content-Type, der nach CSS aussieht, lassen den Datenverkehr für manche Überwachungen wie einen „normalen“ Stylesheet-Request wirken.
Neben der HTTP-basierten Ausführung wird ein lokaler Mechanismus beschrieben, bei dem die Malware unter /run/bigtlog.pipe einen Socket anlegt. Nach tokenbasierten Checks wird diese Schnittstelle mit /bin/bash verbunden, wodurch ein interaktives Kommando-Interface entstehen kann, ohne dass ein klassischer Remote-Port über das Netzwerk „offen“ sichtbar sein muss. Sophos beschreibt zugleich, dass es im untersuchten Sample keine eindeutig nachweisbare Client-Logik für die Nutzung des Tokens gab; dadurch wirken die HTTP-Route und die Socket-Route wie getrennte Fähigkeiten. Für die Praxis heißt das: Wenn ein Team nur nach Netzwerkindikatoren sucht, aber keine Prozess- und Speicheranalyse ergänzt, kann die zweite Ausführungsschiene unbemerkt bleiben.
Für das Vorgehen nach dem Patchen betonen die beschriebenen Hinweise, dass „gepatcht“ nicht automatisch „sauber“ bedeutet. Ireland’s National Cyber Security Centre geht davon aus, dass Ausnutzungen bereits vor der Veröffentlichung im Oktober 2025 stattgefunden haben oder stattfinden konnten, und empfiehlt deshalb, auch bereits aktualisierte Systeme auf Kompromittierung zu prüfen. Das UK National Cyber Security Centre rät ausdrücklich zu Ermittlungen unabhängig vom Update-Zeitpunkt. Praktische Anhaltspunkte umfassen den Start von F5-eigenen Integritätsprüfungen wie sys-eicheck (wobei Änderungen an /usr/bin/umount und /usr/sbin/httpd dazu führen können, dass die Prüfung fehlschlägt), das Einsammeln von qkview-Reports zur Einschätzung durch F5, sowie das Abgleichen von Speicherinhalten mit erwarteten Modulinhalten aus dem Incident-Response-Playbook für kritische Webserver. Entscheidend bleibt auch, dass die veröffentlichten Analysen zum Zeitpunkt des Angriffsbeginns und zur Frage, ob Upgrades die bereits eingebettete Malware zuverlässig entfernen, offen lassen; ebenso wurden keine belastbaren Angaben zur Tätergruppe genannt.
Für Unternehmen bedeutet das vor allem eine Anpassung der Detektionsstrategie: Bei solchen In-Memory-Manipulationen müssen Ereignisse rund um Apache-Worker, Funktionsaufrufe in geladenen Modulen und Speicherberechtigungen so behandelt werden, als wären sie mindestens genauso relevant wie Datei-IOCs. Wer nur auf Dateisignaturen oder Disk-Scans setzt, läuft Gefahr, eine kompromittierte Laufzeitumgebung zu übersehen, selbst wenn die Dateistruktur scheinbar „bekannt gut“ wirkt. Gleichzeitig zeigt die Kette aus Installer, Apache-Infektion und späterer PHP-Hook-Übergabe, dass ein rein isoliertes Patchen einzelner Indikatoren nicht genügt: Entscheidend ist eine ganzheitliche Incident-Suche über Artefakte, Prozesse, Logs und speichernahe Spuren hinweg.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "F5 BIG-IP APM: PHP-Webshell im Speicher und kritische RCE-Lücke" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "F5 BIG-IP APM: PHP-Webshell im Speicher und kritische RCE-Lücke" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »F5 BIG-IP APM: PHP-Webshell im Speicher und kritische RCE-Lücke« bei Google Deutschland suchen, bei Bing oder Google News!