F5 BIG-IP APM è finito sotto intrusione attiva con CVE-2025-53521: gli attaccanti stanno usando la falla per mantenere un rootkit Linux sul controllo di accesso, non solo per entrare una volta. La parte critica è che l’impianto vive nel runtime PHP e può restare invisibile ai controlli che guardano solo il disco.
Il rootkit intercetta il caricamento dei file PHP e inietta una web shell direttamente in memoria. Così il codice malevolo non lascia un artefatto su disco, e un’analisi basata su file hash o immagini del filesystem può risultare pulita anche se l’appliance è ancora compromessa. Il punto di fiducia colpito è il control plane che decide chi passa e cosa resta bloccato.
Per chi usa BIG-IP APM su virtual server con access policies, la compromissione non riguarda un singolo processo ma il punto che governa l’accesso. Se la persistenza vive in memoria, la sola correzione della falla non basta a spiegare tutto ciò che può essere rimasto attivo.