Appliance de autenticação da F5 está sob ataque ativo — e as ações sobem 75% mesmo assim

A F5 comunicou aos clientes, em 22 de setembro, que atacantes estão explorando uma brecha em seu principal appliance de login↗. A CVE-2026-94127 é um estouro de buffer de heap (heap-based buffer overflow) no BIG-IP APM quando o produto roda como servidor de autorização OAuth; a falha entrega execução remota de código a um atacante não autenticado e recebeu nota 9,8 no CVSS v3.1 ¹². No mesmo dia, a CISA incluiu a vulnerabilidade em seu catálogo de falhas conhecidas e exploradas (KEV)↗ e deu às agências federais prazo até sexta-feira, com triagem forense obrigatória sob a diretiva BOD 26-04 ³.

A falha está na máquina que valida cada login

O APM é o proxy centralizado que protege o acesso a redes corporativas, aplicativos, serviços de nuvem e APIs↗ ⁴. Pelo plano de dados, estão expostas as versões 21.1.0, 17.5.0 a 17.5.1 e 17.1.0 a 17.1.3, incluindo o modo appliance; a F5 encontrou a falha internamente, distribuiu hotfixes e publicou uma iRule de mitigação para quem demora a aplicar as correções ¹. A Shadowserver contabiliza mais de 14.700 endereços APM expostos na internet e não consegue dizer quantos já foram corrigidos ou são honeypots ⁴. O sinal do ataque: falhas repetidas de OAuth, seguidas de comandos suspeitos e, por fim, a queda do gerenciamento de tráfego↗ ¹. Quem paga: as empresas e agências por trás desses endereços, empurradas pelo prazo da CISA para corrigir e fazer triagem forense ³⁴. Quem embolsa: os detentores do prêmio, até que uma vítima seja nomeada.

O único desconto do mercado foi nas projeções

A receita do terceiro trimestre fiscal chegou a US$ 865,1 milhões, alta de 11%, com lucro por ação ajustado de US$ 4,73, ante consenso de US$ 3,98↗ ⁵.

Três dias depois do comunicado, uma nota de investidores atribuiu a alta de 75% da ação no acumulado do ano à demanda por segurança de IA e aos aportes institucionais↗, sem mencionar a falha ⁶. O único recuo verificado na semana, queda de 2,07% após o fechamento, para US$ 446,55, em 24 de setembro↗, foi explicado pela revisão para cima do guidance e por uma estratégia mais afiada de segurança de IA; a matéria tampouco menciona a CVE ⁷.

Um Estado-nação já saiu da F5 levando suas anotações sobre zero-days

Um ano antes, a F5 havia revelado que um ator de Estado-nação mantinha acesso de longo prazo ao ambiente de desenvolvimento de produtos BIG-IP e saiu de lá com código-fonte e detalhes de vulnerabilidades não divulgadas↗ ⁸; o Departamento de Justiça autorizou a empresa a adiar essa revelação↗ ⁹. Na época, a F5 afirmou não ter conhecimento de falhas críticas ou de execução remota de código ainda não divulgadas entre os arquivos roubados ⁸, e o comunicado desta semana não liga a nova falha ao roubo ¹. A F5 não informou quantos sistemas a campanha atual comprometeu ⁹. Desde novembro de 2021, a CISA sinalizou oito falhas da F5 já exploradas, quatro delas usadas em ransomware ⁴.

O crescimento é real; o risco de cauda não está no preço

Zero-days explorados em fornecedores de equipamentos de rede já são rotina; Check Point e Arista entraram na lista KEV no mesmo dia ³. As medidas de contenção adotadas pela F5 após a invasão foram validadas pela NCC Group e pela IOActive, e o Falcon EDR da CrowdStrike vem embutido no BIG-IP gratuitamente até 14 de outubro de 2026 ⁸. Nada do que se tornou público nesta semana — menos ainda a nota otimista de segurança de IA — precificou o fato de que o fosso competitivo e a superfície de ataque vêm na mesma caixa ⁶. Vale acompanhar as vítimas que vierem a ser identificadas na triagem do KEV e o quarto trimestre diante da guidance de receita de US$ 870 milhões a US$ 890 milhões ⁵.