El equipo de autenticación de F5 está bajo ataque activo y sus acciones suben un 75% pese a todo

F5 avisó el 22 de septiembre a sus clientes de que atacantes ya están explotando un agujero en su equipo estrella de inicio de sesión↗. La CVE-2026-94127, un desbordamiento de búfer en la memoria dinámica (heap) de BIG-IP APM cuando funciona como servidor de autorización OAuth, permite a un atacante no autenticado ejecutar código de forma remota y está valorada con un 9,8 en la escala CVSS v3.1 ¹². Ese mismo día, la CISA la incluyó en su catálogo de vulnerabilidades explotadas conocidas↗ y dio a las agencias federales hasta el viernes para parchear, con triaje forense obligatorio en virtud de la directiva BOD 26-04 ³.

La vulnerabilidad está en la máquina que comprueba cada inicio de sesión

APM es el proxy centralizado que protege el acceso a redes corporativas, aplicaciones, servicios en la nube y las API↗ ⁴. Las versiones 21.1.0, de la 17.5.0 a la 17.5.1 y de la 17.1.0 a la 17.1.3 están expuestas por el plano de datos, también en modo appliance; F5 detectó el fallo internamente y lanzó correcciones urgentes, junto con una iRule de mitigación para los clientes que tarden en parchear ¹. Shadowserver contabiliza más de 14.700 direcciones APM expuestas en internet, aunque no puede precisar cuántas están parcheadas o son sistemas señuelo (honeypots) ⁴. La firma del ataque son fallos repetidos de OAuth, después comandos sospechosos y, por último, la caída del sistema de gestión de tráfico↗ ¹. ¿Quién paga? Las empresas y agencias que hay detrás de esas direcciones, empujadas por el plazo de la CISA a parchear y a someterse a un triaje forense ³⁴. ¿Quién cobra? Quienes perciben la prima, hasta que se nombre a una víctima.

La única rebaja del mercado fue la de la previsión

Los ingresos del tercer trimestre fiscal alcanzaron los 865,1 millones de dólares, un 11% más, con un beneficio por acción ajustado de 4,73 dólares frente al consenso de 3,98↗ ⁵.

Tres días después del comunicado, una nota para inversores atribuyó la subida del 75% de la acción en lo que va de año a la demanda de ciberseguridad para la IA y a los flujos de capital institucional↗, sin mencionar la vulnerabilidad ⁶. El único movimiento bajista verificado de la semana, una caída del 2,07% tras el cierre de la sesión del 24 de septiembre, hasta los 446,55 dólares↗, se enmarcó en una previsión de resultados revisada al alza y en una estrategia de ciberseguridad para la IA más afinada; aquel artículo tampoco menciona la CVE ⁷.

Un Estado nación ya salió de F5 con los apuntes de sus días cero

Un año antes, F5 reveló que un actor de un Estado nación mantuvo un acceso prolongado a su entorno de desarrollo de productos BIG-IP y se marchó con código fuente y detalles de vulnerabilidades sin desvelar↗ ⁸; el Departamento de Justicia autorizó a F5 a aplazar aquella revelación↗ ⁹. En aquel momento, F5 dijo no tener constancia de fallos críticos o de ejecución remota de código sin desvelar entre los archivos sustraídos ⁸, y el comunicado de esta semana no relaciona el nuevo fallo con aquel robo ¹. F5 no ha dicho cuántos sistemas ha comprometido la campaña actual ⁹. Desde noviembre de 2021, la CISA ha señalado ocho vulnerabilidades explotadas de F5, cuatro de ellas utilizadas en ransomware ⁴.

El crecimiento es real; el riesgo de cola no está en el precio

Los días cero explotados entre los proveedores de redes ya son moneda corriente; Check Point y Arista se sumaron el mismo día a la lista KEV ³. NCC Group e IOActive validaron la contención de F5 tras aquella intrusión, y el Falcon EDR de CrowdStrike se incluye sin coste dentro de BIG-IP hasta el 14 de octubre de 2026 ⁸. Nada de lo publicado esta semana —y mucho menos la nota alcista sobre ciberseguridad para la IA— ha puesto precio al hecho de que el foso competitivo y la superficie de ataque se venden en la misma caja ⁶. Habrá que estar atentos a las víctimas con nombre y apellido que salgan del triaje de la lista KEV y al cuarto trimestre frente a la previsión de ingresos de 870 a 890 millones de dólares ⁵.