F5 BIG-IP APM è finito sotto intrusione attiva con CVE-2025-53521: gli attaccanti stanno usando la falla per mantenere un rootkit Linux sul controllo di accesso, non solo per entrare una volta. La parte critica è che l’impianto vive nel runtime PHP e può restare invisibile ai controlli che guardano solo il disco.
Il rootkit intercetta il caricamento dei file PHP e inietta una web shell direttamente in memoria. Così il codice malevolo non lascia un artefatto su disco, e un’analisi basata su file hash o immagini del filesystem può risultare pulita anche se l’appliance è ancora compromessa. Il punto di fiducia colpito è il control plane che decide chi passa e cosa resta bloccato.
Per chi usa BIG-IP APM su virtual server con access policies, la compromissione non riguarda un singolo processo ma il punto che governa l’accesso. Se la persistenza vive in memoria, la sola correzione della falla non basta a spiegare tutto ciò che può essere rimasto attivo.
CVSS 9.8 CRITICAL: when a BIG-IP APM access policy is configured on a virtual server, specific malicious traffic can lead to Remote Code… EPSS 2% (82º percentile).
Data di correzione federale CISA 30 mar · data superata
Hackers breach F5 BIG-IP APM devices to deploy Linux rootkit
A Linux rootkit targeting devices in F5 BIG-IP APM environments can intercept PHP file loading and inject a fileless web shell directly into memory, avoiding the need to write malicious code to disk.