1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. F5 BIG-IP APMの脆弱性がRCEに再分類-CVE-2025-53521は既に悪用確認

F5 BIG-IP APMの脆弱性がRCEに再分類-CVE-2025-53521は既に悪用確認

セキュリティニュース

投稿日時: 更新日時:

F5 BIG-IP APMの脆弱性がRCEに再分類-CVE-2025-53521は既に悪用確認

F5は2026年3月29日、BIG-IP Access Policy Manager APM の脆弱性 CVE-2025-53521 に関するアドバイザリを更新しました。JPCERT/CCによると、この問題は当初2025年10月にサービス運用妨害 DoS として公表されていましたが、2026年3月の新たな情報を踏まえて、認証不要のリモートコード実行 RCE につながる脆弱性へ再分類されました。あわせて、開発元によると悪用も確認されています

脆弱性の内容

今回のCVE-2025-53521は、F5のアドバイザリ番号では K000156741 に対応しています。外部機関の注意喚起では、CVSS v3.1 は 9.8 とされており、認証不要、ネットワーク経由、ユーザー操作不要の条件で成立する極めて深刻な問題として扱われています。

もともとDoSとして見られていた問題が、後からRCEへ再評価された点も見逃せません。これは、既に公開済みだった情報を前提に安全側へ見積もっていた組織ほど、対応が遅れるおそれがあることを意味します。

影響を受けるバージョンと修正版

F5のリリースノートでは、CVE-2025-53521 と K000156741 に対応する修正版が示されています。

確認できる修正版は、21.0.0、17.5.1.3、17.1.3、16.1.6.1、15.1.10.8 です。少なくとも、これより前の該当系統を運用している場合は、影響有無の確認と更新が必要です。

特に、17.1系や17.5系だけでなく、16.1系、15.1系にも修正版が出ている点は重要です。比較的古い安定系を長く使っている環境でも、今回の脆弱性は対象になり得るため、小規模拠点や更改待ち機器を含めた棚卸しが必要です。

関連記事

FortinetのSSO 脆弱性、公開直後から悪用を確認(CVE-2025-59718,CVE-2025-59719)FortinetのSSO 脆弱性、公開直後から悪用を確認(CVE-2025-59718,CVE-2025-59719) Adobe(アドビ) Experience Manager Forms（JEE）の脆弱性 CVE-2025-54253がCISAのKEVに登録-至急アップデートをAdobe(アドビ) Experience Manager Forms（JEE）の脆弱性 CVE-2025-54253がCISAのKEVに登録-至急アップデートを React Server Components/Next.jsの脆弱性(React2Shell:CVE-2025-55182)がサイバー攻撃へ悪用-F5 Labsが警告React Server Components/Next.jsの脆弱性(React2Shell:CVE-2025-55182)がサイバー攻撃へ悪用-F5 Labsが警告 https://rocket-boys.co.jp/security-measures-lab/palo-alto-pan-os-cve-2025-0133-fixed-poc-exploit-found/Palo Alto NetworksのPAN-OSの脆弱性(CVE-2025-0133)が修正-PoCエクスプロイトも確認 Trend Micro Apex Oneの重大脆弱性(CVE-2025-54948)がCISA「KEV」に追加-実際に悪用される可能性Trend Micro Apex Oneの重大な脆弱性(CVE-2025-54948)がCISA「KEV」に追加-実際に悪用される可能性 SAP、11月の月例パッチで緊急2件を含む20件を修正-(CVE-2025-4289,CVE-2025-42887)SAP、11月の月例パッチで緊急2件を含む20件を修正-(CVE-2025-4289,CVE-2025-42887) HTTPプロキシ Squidに資格情報漏えいの可能性があるクリティカルな脆弱性(CVE-2025-62168)HTTPプロキシ Squidに資格情報漏えいの可能性があるクリティカルな脆弱性(CVE-2025-62168) LangflowのCSV Agentに未認証RCEの重大な脆弱性(CVE-2026-27966)LangflowのCSV Agentに未認証RCEの重大な脆弱性(CVE-2026-27966) WordPressのフォーム プラグイン Kali Formsに深刻な認証不要 RCE 脆弱性(CVE-2026-3584)WordPressのフォーム プラグイン Kali Formsに深刻な認証不要 RCE 脆弱性(CVE-2026-3584)