Angreifer greifen das Login-Flaggschiff von F5 an – die Aktie trotzdem 75 Prozent im Plus

F5 hat Kunden am 22. September darüber informiert, dass Angreifer eine Sicherheitslücke in seiner wichtigsten Login-Appliance ausnutzen↗. Die Schwachstelle CVE-2026-94127 ist ein Pufferüberlauf im Heap-Speicher, der auftritt, wenn BIG-IP APM als OAuth-Autorisierungsserver läuft; sie verschafft nicht authentifizierten Angreifern die Remote-Code-Ausführung und ist nach CVSS v3.1 mit 9,8 bewertet ¹². Noch am selben Tag nahm die CISA die Lücke in ihren Katalog bekannt ausgenutzter Schwachstellen (KEV) auf↗ und gab Bundesbehörden bis Freitag Zeit – die Anweisung BOD 26-04 schreibt ihnen zusätzlich eine forensische Untersuchung vor ³.

Die Lücke steckt in der Maschine, die jede Anmeldung prüft

APM ist der zentrale Proxy, der den Zugriff auf Unternehmensnetzwerke, Anwendungen, Cloud-Dienste und APIs absichert↗ ⁴. Betroffen sind die Versionen 21.1.0, 17.5.0 bis 17.5.1 und 17.1.0 bis 17.1.3 – Appliance-Modus eingeschlossen –, erreichbar über die Datenebene. F5 hat den Fehler intern entdeckt und Hotfixes bereitgestellt; für alle, die mit dem Patchen nicht nachkommen, gibt es zudem eine iRule zur vorläufigen Absicherung ¹. Shadowserver zählt mehr als 14.700 aus dem Internet erreichbare APM-Adressen und kann nicht sagen, wie viele davon bereits gepatcht sind oder als Honeypots laufen ⁴. Angriffe verraten sich durch zunächst wiederholte OAuth-Fehler, dann verdächtige Befehle, schließlich den Absturz des Traffic-Managements↗ ¹. Wer zahlt: die Unternehmen und Behörden hinter diesen Adressen, von der CISA-Frist zu Patch und forensischer Untersuchung gedrängt ³⁴. Wer kassiert: die Inhaber der Prämie – bis ein Opfer namentlich genannt wird.

Der einzige Kursabschlag galt die Prognose

Im dritten Geschäftsquartal erreichte der Umsatz 865,1 Millionen Dollar, ein Plus von 11 Prozent; das bereinigte Ergebnis je Aktie lag bei 4,73 Dollar gegenüber einem Konsens von 3,98 Dollar↗ ⁵.

Drei Tage nach der Sicherheitswarnung führte eine Anlegernotiz das Kursplus von 75 Prozent seit Jahresbeginn auf die Nachfrage nach KI-Sicherheit und institutionelle Geldzuflüsse zurück↗, ohne die Schwachstelle zu erwähnen ⁶. Der einzige verifizierte Kursverlust der Woche, ein Minus von 2,07 Prozent im nachbörslichen Handel auf 446,55 Dollar am 24. September↗, stand im Zeichen einer angehobenen Prognose und einer geschärften KI-Sicherheitsstrategie; auch dieser Bericht erwähnt die CVE mit keinem Wort ⁷.

Schon einmal hat ein Staatsakteur F5s Zero-Day-Notizen mitgenommen

Ein Jahr zuvor hatte F5 offengelegt, dass ein Staatsakteur über einen längeren Zeitraum Zugriff auf die Entwicklungsumgebung für BIG-IP-Produkte hatte und Quellcode sowie Details zu unveröffentlichten Schwachstellen mitnahm↗ ⁸; das US-Justizministerium erlaubte F5, diese Offenlegung hinauszuschieben↗ ⁹. F5 erklärte damals, ihm seien unter den gestohlenen Dateien keine unveröffentlichten kritischen Schwachstellen oder Lücken für Remote-Code-Ausführung bekannt gewesen ⁸. Die Sicherheitswarnung dieser Woche stellt keinen Zusammenhang zwischen der neuen Lücke und dem Diebstahl her ¹. Wie viele Systeme die laufende Kampagne kompromittiert hat, hat F5 nicht mitgeteilt ⁹. Seit November 2021 hat die CISA acht ausgenutzte F5-Schwachstellen gelistet, vier davon wurden für Ransomware-Angriffe genutzt ⁴.

Das Wachstum ist real – das Tail-Risiko nicht eingepreist

Ausgenutzte Zero-Day-Lücken bei Netzwerkausrüstern sind inzwischen Routine; Check Point und Arista rückten am selben Tag auf die KEV-Liste ³. NCC Group und IOActive haben F5s Eindämmung nach dem Einbruch bestätigt, und die Falcon-EDR von CrowdStrike ist bis zum 14. Oktober 2026 kostenlos in BIG-IP enthalten ⁸. Diese Woche hat nichts Öffentliches die Tatsache eingepreist, dass Burggrabe und Angriffsfläche im selben Gehäuse stecken – schon gar nicht die bullische Anlegernotiz zur KI-Sicherheit ⁶. Zu beobachten sind Opfer, deren Namen aus der KEV-Untersuchung hervorgehen, und das vierte Geschäftsquartal, gemessen an der Umsatzprognose von 870 bis 890 Millionen Dollar ⁵.