L'équipement d'authentification de F5 est activement attaqué, et l'action grimpe quand même de 75 %

F5 a alerté ses clients le 22 septembre : des attaquants exploitent une faille dans son équipement phare d'authentification↗. La CVE-2026-94127, un dépassement de tampon en mémoire tas qui touche BIG-IP APM lorsqu'il fonctionne en serveur d'autorisation OAuth, offre à un attaquant non authentifié une exécution de code à distance ; elle est notée 9,8 sur l'échelle CVSS v3.1 ¹². Le jour même, la CISA l'a inscrite à son catalogue des vulnérabilités connues comme exploitées↗ et a donné aux agences fédérales jusqu'à vendredi, avec obligation d'analyse forensique au titre de la directive BOD 26-04 ³.

La faille se niche dans la machine qui vérifie chaque connexion

APM est le proxy centralisé qui sécurise l'accès aux réseaux d'entreprise, aux applications, aux services de cloud et aux API↗ ⁴. Les versions 21.1.0, 17.5.0 à 17.5.1 et 17.1.0 à 17.1.3 sont exposées, y compris en mode appliance, via le plan de données ; F5 a découvert la vulnérabilité en interne et publié des correctifs d'urgence, accompagnés d'une iRule d'atténuation pour les retardataires ¹. Shadowserver recense plus de 14 700 adresses APM exposées sur Internet, sans pouvoir dire combien sont corrigées ou relèvent de pots de miel ⁴. La signature de l'attaque : des échecs OAuth répétés, puis des commandes suspectes, puis un plantage du module de gestion du trafic↗ ¹. Qui paie : les entreprises et agences derrière ces adresses, sommées par l'échéance de la CISA de corriger et de mener une analyse forensique ³⁴. Qui encaisse : les détenteurs de la prime, jusqu'à ce qu'une victime soit nommée.

La seule démarque du marché : les prévisions

Le chiffre d'affaires du troisième trimestre fiscal a atteint 865,1 millions de dollars, en hausse de 11 %, avec un résultat par action ajusté de 4,73 dollars contre un consensus de 3,98 dollars↗ ⁵.

Trois jours après l'avis de sécurité, une note aux investisseurs a attribué la hausse de 75 % du titre depuis le début de l'année à la demande de sécurité de l'IA et aux entrées de capitaux institutionnels↗, sans mentionner la faille ⁶. L'unique recul avéré de la semaine, une baisse de 2,07 % à 446,55 dollars après la clôture, le 24 septembre↗, a été présenté sous l'angle de prévisions relevées et d'une stratégie de sécurité de l'IA affûtée ; cet article ne mentionne pas non plus la CVE ⁷.

Un État-nation est déjà reparti avec les notes zero-day de F5

Un an plus tôt, F5 avait révélé qu'un acteur étatique avait entretenu un accès de longue durée à l'environnement de développement de ses produits BIG-IP et était reparti avec du code source et des informations sur des vulnérabilités non divulguées↗ ⁸ ; le ministère américain de la Justice avait autorisé F5 à différer cette divulgation↗ ⁹. À l'époque, F5 affirmait n'avoir connaissance d'aucune faille critique ou d'exécution de code à distance non divulguée parmi les fichiers volés ⁸, et l'avis publié cette semaine n'établit aucun lien entre la nouvelle faille et ce vol ¹. F5 n'a pas indiqué combien de systèmes la campagne en cours a compromis ⁹. Depuis novembre 2021, la CISA a signalé huit failles de F5 exploitées, dont quatre utilisées dans des attaques par rançongiciel ⁴.

La croissance est réelle ; le risque de queue, lui, n'est pas dans les cours

Les zero-days exploités chez les équipementiers réseau sont désormais monnaie courante ; Check Point et Arista ont rejoint la liste KEV le même jour ³. NCC Group et IOActive ont validé le confinement post-intrusion de F5, et l'EDR Falcon de CrowdStrike est livré dans BIG-IP gratuitement jusqu'au 14 octobre 2026 ⁸. Rien de public cette semaine, et encore moins la note haussière sur la sécurité de l'IA, n'a intégré dans les cours le fait que la douve et la surface d'attaque sont livrées dans la même boîte ⁶. À surveiller : des victimes nommées à l'issue du triage KEV, et le quatrième trimestre face à la fourchette de chiffre d'affaires de 870 à 890 millions de dollars ⁵.