La empresa estadounidense de ciberseguridad F5 informó sobre una brecha en sus sistemas, donde cibercriminales no identificados accedieron a archivos que contenían parte del código fuente de BIG-IP y información relacionada con vulnerabilidades no reveladas del producto.
Actividad atribuida a un agente de amenazas estatal
F5 atribuyó la actividad a un «agente de amenazas altamente sofisticado perteneciente a un estado-nación». La empresa indicó que el adversario mantenía acceso persistente y a largo plazo a su red. El conocimiento sobre la brecha se obtuvo el 9 de agosto de 2025, según el Formulario 8-K presentado ante la Comisión de Bolsa y Valores de EE.UU. (SEC).
Notificación de seguridad con múltiples vulnerabilidades
La notificación de seguridad de F5 de octubre de 2025 es alarmante debido al gran volumen de vulnerabilidades reveladas: más de 30 CVE de alta gravedad. Afecta a casi toda la familia de productos F5, incluyendo BIG-IP (todos los módulos), BIG-IP Next, F5OS y componentes relacionados.
Muchas de estas vulnerabilidades tienen una puntuación superior a 8.0; explotación remota, denegación de servicio o escalamiento de privilegios. Además, el número de ramas de software afectadas (desde la 15.x hasta la 17.x) significa que la mayoría de las implementaciones de F5 se ven afectadas de alguna manera.
En resumen, el boletín de este trimestre probablemente incluya las actualizaciones de seguridad más importantes de F5 hasta la fecha. Si utiliza productos F5, aplique el parche ahora.
Medidas tomadas por F5
F5 indicó que ha tomado medidas exhaustivas para contener al cibercriminal. Desde el inicio de estas actividades, no ha detectado ninguna nueva actividad no autorizada y cree que sus esfuerzos de contención han tenido éxito.
La empresa no especificó durante cuánto tiempo los cibercriminales tuvieron acceso a su entorno de desarrollo de productos BIG-IP, pero enfatizó que no ha observado ningún indicio de que las vulnerabilidades hayan sido explotadas de forma maliciosa. También indicó que los atacantes no accedieron a sus sistemas CRM, financieros, de gestión de casos de soporte ni de iHealth.
Dicho esto, la compañía reconoció que algunos de los archivos extraídos de su plataforma de gestión del conocimiento contenían información de configuración o implementación de un pequeño porcentaje de clientes. Se espera que los clientes afectados sean notificados directamente tras la revisión de los archivos.
Acciones de respuesta
Tras el descubrimiento del incidente, F5 contrató los servicios de Google Mandiant y CrowdStrike, además de rotar credenciales y reforzar los controles de acceso. Implementó herramientas para una mejor monitorización de las amenazas, reforzó su entorno de desarrollo de productos con controles de seguridad adicionales e implementó mejoras en su arquitectura de seguridad de red.
Se recomienda a los usuarios que instalen las últimas actualizaciones de BIG-IP, F5OS, BIG-IP Next para Kubernetes, BIG-IQ y clientes APM lo antes posible para una protección óptima.