F5 BIG-IP APM侵害後にLinuxルートキットを展開　メモリ内Webシェル PoisonedRefresh:CVE-2025-53521-Sophos-解析

SophosLabsは2026年9月7日、侵害されたF5 BIG-IP Access Policy Manager（APM）環境で確認されたLinuxインプラントの解析結果を公開しました。

このマルウェアは、Apacheの実行環境に組み込まれ、正規のPHPファイルをディスク上では変更せず、メモリ上で読み込まれる際にWebシェルを注入します。一般的なファイルベースのWebシェル検知では見つけにくい構造です。ESETも同じマルウェア群を解析し、「PoisonedRefresh」と呼んでいます。

Sophosは、この検体を侵害後に展開される第二段階ペイロードと分析しています。F5は関連する悪性活動「c05d5254」を、実悪用が確認されているBIG-IP APMのリモートコード実行脆弱性CVE-2025-53521と関連付けています。

ただし、Sophosの解析だけでは、今回の各侵害でCVE-2025-53521が初期侵入に使われたとまでは確認できません。CVE-2025-53521自体はF5が実悪用を確認しており、CISA Known Exploited Vulnerabilities（KEV）Catalogにも掲載されています。

BIG-IP APMを運用する企業では、パッチ適用済みかだけでなく、「脆弱だった期間に侵害されていないか」を確認する必要があります。

F5 BIG-IP APMを狙うPoisonedRefreshのサマリー

確認できている内容：

• SophosLabsは2026年9月7日、侵害されたF5 BIG-IP APM環境で確認されたLinuxインプラントを解析しました。
• ESETは同じマルウェアを「PoisonedRefresh」と呼んでいます。
• Sophosの検体は第二段階ペイロードと分析されています。
• 別のインストーラ／拡散コンポーネントが/usr/sbin/httpdへ悪性コードを追加し、第二段階を展開していたとSophosは説明しています。
• マルウェアはApacheのPHPモジュール読み込みを監視し、正規PHPファイルのメモリ上の内容へWebシェルを注入します。
• 対象PHPファイルのディスク上の内容は変更されないため、単純なファイル整合性確認だけでは検出できない場合があります。
• ローカルのUNIXドメインソケットを使った別のバックドア機能も確認されています。
• SophosはBIG-IP APM Webtop環境を狙った専用性の高い実装と評価しています。
• F5は関連する悪性活動「c05d5254」のIOCを公開しています。
• F5はCVE-2025-53521の実悪用を確認しています。
• CVE-2025-53521はBIG-IP APMの未認証RCEで、CVSS v3.1は9.8（Critical）です。
• CISAは2026年3月27日にCVE-2025-53521をKEVへ追加しました。
• JPCERT/CCも2026年3月、国内組織向けに同脆弱性への注意喚起を公開しています。
• 9月8日時点でShadowserverの観測では、CVE-2025-53521の影響を受ける可能性があるBIG-IP APMエンドポイントが795件インターネット上で確認されたとBleepingComputerが報じています。

現時点で未確認・未公表の内容：

• 今回Sophosが解析したすべての侵害でCVE-2025-53521が初期侵入に使われたか
• 攻撃者・脅威アクターの帰属
• 日本企業でPoisonedRefreshが確認されたか
• 被害組織数
• 初期侵入から第二段階展開までの完全な攻撃チェーン
• PoisonedRefreshを操作する攻撃者側インフラの全容

項目	内容
対象	F5 BIG-IP APM
マルウェア	Linuxインプラント／ルートキット
呼称	PoisonedRefresh（ESET）
Sophos検出名	Linux/Agnt-IC
主な機能	メモリ内Webシェル、ローカルUNIXソケット経由のシェル
ディスク上のPHP改変	正規PHPファイル自体は変更しない
関連脆弱性	CVE-2025-53521
CVSS	9.8（CVSS v3.1）
CVE実悪用	F5が確認
CISA KEV	2026年3月27日追加
JPCERT/CC	2026年3月に注意喚起
攻撃者帰属	確認されていません

Webシェルを「ファイルとして置かない」構造

一般的なWebシェルでは、PHPやJSPなどの悪性スクリプトをWebサーバー上へファイルとして配置します。

そのためSOCやCSIRTでは、

• Webルート配下の新規ファイル
• 不審なPHPファイル
• ファイルハッシュの変化
• 更新日時の異常
• Webサーバープロセスからの不審な子プロセス

などを調査します。

PoisonedRefreshは、この前提を崩します。

Sophosによると、マルウェアはApacheのプロセス内部へ入り込み、PHPファイルが読み込まれる際に、そのメモリ上の内容だけを書き換えます。

ディスク上に保存されている正規PHPファイルは変更されません。

そのため、管理者がディスク上の対象PHPファイルを確認しても、Webシェルそのものが見つからない可能性があります。

BIG-IP APMの正規PHPをメモリ上で利用

Sophosは、Webシェルの注入対象としてBIG-IP APM Webtop環境に存在する複数の正規PHPファイルを確認しています。

重要なのはファイル名そのものではなく、攻撃者が正規コンポーネントの実行時メモリを利用している点です。

この手法では、利用者や監視製品から見ると正規のURLへアクセスしているように見える一方、侵害されたApacheプロセス内では追加コードが実行されます。

Sophosは、特定条件のHTTPリクエストを受信した際に、メモリ上のWebシェルが処理を実行する構造を確認しています。

悪用可能なリクエスト形式や実行方法については、本記事では扱いません。

Apacheプロセスそのものが改変される

Sophosの解析では、PoisonedRefreshは単純なPHPマルウェアではありません。

第二段階インプラントはApacheの起動過程やPHPモジュールのロード処理に介入し、実行時のメモリ処理を変更します。

さらにSophosは、別の第一段階コンポーネントがBIG-IP上の/usr/sbin/httpdを改変していたことを確認しています。

この第一段階は、

• httpdへの悪性コード追加
• SELinux設定の変更
• 第二段階ペイロードの展開
• BIG-IPのアップグレード／インストール用イメージへの干渉

などを行っていたと分析されています。

つまり、Webアプリケーション層だけでなく、BIG-IP基盤そのものが侵害対象になっています。

BIG-IPアップグレード後も残るよう設計された可能性

Sophosは、第一段階コンポーネントがBIG-IPのアップグレード／インストール用イメージを探索し、そこにも感染を広げようとする動作を確認しています。

通常、アプライアンス型製品の侵害対応では、「最新バージョンへアップグレードすれば侵害状態も解消される」と考えたくなります。

しかし、攻撃者がアップグレード先イメージまで改変している場合、単純なインプレースアップグレードでは不十分になる可能性があります。

F5もCVE-2025-53521の侵害対応で、侵害された可能性があるシステムについて、既存バックアップをそのまま信頼せず、既知の正常な設定から再構築することを推奨しています。

特に、侵害後に取得したUCSバックアップには永続化された悪性要素が含まれる可能性があるためです。

TCP待受を作らないローカルバックドアも搭載

Sophosは、HTTP経由のWebシェルとは別に、ローカルUNIXドメインソケットを利用するバックドア機能も確認しています。

通常のネットワーク型バックドアでは、新しいTCPポートを待ち受けることがあります。

PoisonedRefreshのローカルバックドアは外部向けのTCPリスナーを新設しないため、ファイアウォールやポートスキャンだけでは見つけにくい構造です。

Sophosは、このソケットへ接続すると対話型シェルを利用できることを確認しています。

一方、このローカルソケットへ攻撃者がどのコンポーネントを使って接続していたのかは特定していません。

つまり、PoisonedRefreshだけで攻撃チェーン全体が解明されたわけではありません。

CVE-2025-53521は未認証RCEとして実悪用済み

今回のマルウェアを理解する上で背景となるのがCVE-2025-53521です。

この脆弱性は2025年10月に公開されました。

当初F5は、特定の通信によってTraffic Management Microkernel（TMM）が停止するDoS脆弱性として扱っていました。

その後2026年3月、新たな情報をもとに評価を変更し、未認証のリモートコード実行（RCE）が可能であることを公表しました。

F5がCNAとして登録したCVE情報では、

• CVSS v3.1：9.8
• Attack Vector：Network
• Attack Complexity：Low
• Privileges Required：None
• User Interaction：None

です。

BIG-IP APMのAccess PolicyがVirtual Serverに設定されている場合、特定の悪性通信によってRCEにつながる可能性があります。

F5は2026年3月、脆弱なBIG-IP APMで実際の悪用が発生していることも認めました。

CISA KEVとJPCERT/CCの双方が対応を要請

CISAは2026年3月27日、CVE-2025-53521をKnown Exploited Vulnerabilities Catalogへ追加しました。

CISAのVulnrichmentでは、

• Exploitation：active
• Automatable：yes
• Technical Impact：total

と評価されています。

JPCERT/CCも同脆弱性について国内向け注意喚起を公開しています。

JPCERT/CCは、修正版へのアップデートだけでなく、F5が公開したIOCを使って侵害有無を調査するよう案内しています。

今回PoisonedRefreshの詳細が明らかになったことで、3月時点でパッチ適用だけを行った環境でも、「修正前に侵害されていなかったか」を改めて確認する意味があります。

関連記事：不正アクセスとは？原因・手口・企業が取るべき対策を解説

CVE-2025-53521の対象バージョンと修正版

F5がCNAとして登録した影響範囲は次のとおりです。

BIG-IP APM	影響を受けるバージョン	修正版
17.5系	17.5.0以上、17.5.1.3未満	17.5.1.3
17.1系	17.1.0以上、17.1.3未満	17.1.3
16.1系	16.1.0以上、16.1.6.1未満	16.1.6.1
15.1系	15.1.0以上、15.1.10.8未満	15.1.10.8

F5はTechnical Supportを終了したバージョンについて評価していません。

そのため、表にない旧バージョンを「影響なし」と判断することはできません。

旧バージョンを利用している場合は、サポートされる修正版への移行を確認します。

「パッチ適用済み」でも侵害調査が必要な理由

CVE-2025-53521で特に注意したいのは、修正版が2025年10月から存在していた一方、実悪用が明らかになったのは2026年3月だった点です。

F5は、脆弱なバージョンを現在利用している場合だけでなく、「脆弱なバージョンからアップグレードしたシステム」についてもIOC確認を推奨しています。

理由は、攻撃者が修正前に侵害していれば、パッチ適用だけでは既存のバックドアや改変が消えない可能性があるためです。

英国NCSCも、

• 影響製品を隔離
• IOCを使った侵害調査
• 必要に応じた完全再構築

を推奨しています。

「現在のバージョンが安全か」と「過去に侵害されていないか」は別の確認項目です。

F5が公開している侵害の兆候

F5は「K000160486: Indicators of Compromise for c05d5254」で、関連する悪性活動のIOCを公開しています。

JPCERT/CCや各国CERTが参照している主な確認ポイントには、次のようなものがあります。

• BIG-IP上の特定の不審ファイル
• /usr/bin/umountのハッシュ不一致
• /usr/sbin/httpdのハッシュ不一致
• 正常版と比較したファイルサイズ・タイムスタンプの異常
• ログ・シェル履歴の不審な痕跡
• F5の整合性確認ツールで検出される改変

Sophosの今回の解析でも、httpdとumountに関わる改変が確認されています。

ただし、ファイル名やハッシュだけを一度確認して終わるのではなく、F5が更新するIOC情報を最新状態で参照します。

Sophosが示す追加の検知ポイント

SophosはPoisonedRefreshの挙動から、ファイルIOC以外にも監視できる兆候を示しています。

例として、

• Apacheワーカープロセスによる通常と異なるメモリ関連操作
• libphpのメモリ保護属性の変更
• Apacheプロセスからの不審なシェル起動
• 特定PHPエンドポイントへの通常と異なるPOST
• HTTPステータスとContent-Typeの不自然な組み合わせ
• BIG-IP上での不審なローカルソケット作成

などがあります。

これらは一般的なWebシェルスキャンよりホスト・プロセス側の挙動を見る検知です。

PoisonedRefreshはディスク上の正規PHPファイルを変更しないため、Webディレクトリの差分確認だけでは不十分です。

日本企業で確認したいのは「外部公開APM」だけではない

BIG-IP APMは、企業のリモートアクセスやアプリケーション認証の前段に配置されることがあります。

インターネット境界に置かれるため、侵害された場合は単体アプライアンスの問題で終わらない可能性があります。

BIG-IP APMが持つ接続関係によっては、

• 社内Webアプリケーション
• Active Directoryなどの認証基盤
• VPN・リモートアクセス
• SSO
• 内部API
• 管理ネットワーク

への到達経路と接している場合があります。

そのため、侵害が疑われる場合は、BIG-IP本体だけでなく、APM経由で接続可能だった内部環境も調査対象に含めます。

ただし、今回Sophosが解析した事案で、これらすべてへの横展開が確認されたという意味ではありません。

情報システム・SOC・CSIRTが今確認したいこと

BIG-IP APMを利用している企業では、次の順で確認できます。

1. BIG-IP APMの利用有無を資産台帳で確認する
2. Access Policyを設定したVirtual Serverの有無を確認する
3. BIG-IPの実バージョンを取得する
4. CVE-2025-53521の修正版以上か確認する
5. 過去に脆弱なバージョンを利用していたか確認する
6. F5 K000160486の最新IOCと照合する
7. sys-eicheckなどF5公式の整合性確認手順を利用する
8. httpdやumountなど重要バイナリの整合性を確認する
9. Web・監査・シェル履歴を保存して調査する
10. Sophosが示すプロセス・メモリ・HTTP挙動も調査対象に加える
11. 侵害が疑われる場合は証拠保全前に安易な再起動や上書きを行わない
12. 侵害が確認された場合は既知の正常なソースから再構築する
13. BIG-IPから到達できた内部システムや認証基盤を確認する
14. 管理者・サービスアカウントの認証情報更新を検討する
15. F5、JPCERT/CC、利用中のSOC・IR事業者の最新情報を継続確認する

F5の脆弱性対策では、修正版への更新が必要です。

一方、今回のように実悪用済みCVEと侵害後の高度な永続化マルウェアが組み合わさる場合、「パッチを当てたので対応完了」とは判断できません。

過去の脆弱期間、侵害の兆候、アプライアンスの整合性、内部環境への影響まで確認して初めて、対応範囲を判断できます。

出典

• Dissecting a PHP web server rootkit – Sophos
• K000156741: BIG-IP APM vulnerability CVE-2025-53521 – F5
• K000160486: Indicators of Compromise for c05d5254 – F5
• K00029945: Using the sys-eicheck utility – F5
• K11438344: Considerations and guidance when you suspect a security compromise on a BIG-IP system – F5
• BIG-IP 17.5.1.3 Fixes and Known Issues – F5
• CVE-2025-53521 – CVE Program
• Known Exploited Vulnerabilities Catalog – CISA
• F5 BIG-IP Access Policy Managerの脆弱性（CVE-2025-53521）に関する注意喚起 – JPCERT/CC
• Vulnerability affecting F5 BIG-IP APM – UK National Cyber Security Centre
• F5 security advisory (AV25-669) – Update 1 – Canadian Centre for Cyber Security