Letzte Woche haben wir einen schwerwiegenden Sicherheitsvorfall offengelegt, an dem ein hochentwickelter staatlicher Bedrohungsakteur beteiligt war. Als CISO weiß ich, wie es ist, solche Nachrichten von einem Partner zu erhalten. Ich verstehe, wie schwierig und belastend dies für unsere Kunden war. Wir entschuldigen uns aufrichtig für den Vorfall und übernehmen die volle Verantwortung dafür.
In der vergangenen Woche haben wir mit Hunderten unserer Kunden sowie mit Gruppen anderer CISOs gesprochen. Ich möchte unseren Kunden und der gesamten Sicherheitscommunity für die partnerschaftliche Unterstützung danken, die Sie uns in dieser schwierigen Zeit entgegengebracht haben.
Wir sind entschlossen, aus diesem Vorfall zu lernen, und wissen, dass es Dinge gibt, die wir verbessern können. Unsere bisher wichtigste Erkenntnis: Unsere Kontrollen waren uneinheitlich – in einigen Bereichen stark, in anderen nicht. Wir werden es besser machen.
Teams im gesamten Unternehmen haben sich mobilisiert, um schnell und koordiniert zu handeln, mit dem Ziel, das Vertrauen wiederherzustellen und das Sicherheitsniveau dauerhaft zu erhöhen. Wir haben die Automatisierung unserer Bestands- und Patchverwaltung verbessert und unsere Überwachung zur Erkennung von und Reaktion auf Bedrohungen verstärkt. Wir bauen unsere Zero-Trust-Funktionen in unserer gesamten Infrastruktur und unseren Betriebsabläufen aus und arbeiten mit CrowdStrike zusammen, um F5 BIG-IP mit fortschrittlicher Endpunkttransparenz auszustatten. Tatsächlich setzen wir CrowdStrike EDR auf unseren BIG-IP-Geräten am Rand unseres Unternehmensnetzwerks ein. Diesen Schutz bieten wir auch unseren Kunden für ihre BIG-IP-Flotten an.
Wir arbeiten weiterhin rund um die Uhr daran, die Situation zu bereinigen, und stehen dabei bei jedem Schritt eng an der Seite unserer Kunden. Während wir unsere Untersuchung fortsetzen und Erkenntnisse aus diesem Vorfall gewinnen, werden wir diese weitergeben, um die Sicherheitsgemeinschaft insgesamt zu stärken.
Vor diesem Hintergrund finden Sie nachfolgend die Fragen, die mir derzeit von Kunden am häufigsten gestellt werden, sowie die entsprechenden Antworten und Empfehlungen:
Auf welche Art von Kundendaten hat der Bedrohungsakteur zugegriffen?
Einige der von unserer Wissensmanagementplattform exfiltrierten Dateien enthielten Informationen zu einem kleinen Prozentsatz unserer Kunden. Wichtig ist, dass uns weiterhin keine Hinweise darauf vorliegen, dass auf Daten aus unseren CRM-, Finanz-, Supportfallmanagement- oder F5 iHealth-Systemen zugegriffen wurde oder diese exfiltriert wurden. Bei den betroffenen Kundendaten, die wir gefunden haben, handelt es sich hauptsächlich um interne Notizen zu Kundeninteraktionen. Diese können Informationen enthalten, die zur Fehlerbehebung, Funktionsentwicklung und für Anfragen zur Fehlerbehebung verwendet werden.
Unsere eingehende Prüfung dieser Dateien dauert noch an. Obwohl wir zügig vorgehen, nehmen wir uns die nötige Zeit, um verlässliche Informationen bereitzustellen. Wir haben bereits die Kunden benachrichtigt, deren Daten wir bislang identifiziert haben, und werden sie weiterhin direkt informieren, sobald uns weitere Erkenntnisse vorliegen.
Wurden die exfiltrierten Informationen öffentlich oder im Dark Web veröffentlicht?
Wir haben weder festgestellt, dass bei diesem Vorfall abgeflossene Informationen öffentlich oder im Dark Web verbreitet wurden, noch liegen uns Hinweise darauf vor, dass die betroffenen Schwachstellen aktiv ausgenutzt wurden.
Die CISA hat eine Notfallrichtlinie zu dem Vorfall erlassen. Sollten Kunden beunruhigt sein?
Obwohl uns keine nicht offengelegten kritischen Schwachstellen oder Schwachstellen bekannt sind, die eine Remotecodeausführung ermöglichen, und auch keine Ausnutzung der von uns letzte Woche offengelegten Schwachstellen bekannt ist, bekräftigt die Richtlinie der CISA (1) unsere in der Offenlegung ausgesprochene dringende Empfehlung, dass Kunden ihre BIG-IP-Software so schnell wie möglich aktualisieren, und (2) unsere Konfigurationsempfehlung, dass Verwaltungsschnittstellen niemals dem öffentlichen Internet ausgesetzt sein dürfen und stets durch eine angemessene Segmentierung, Netzwerkisolierung und Zugriffskontrolle geschützt werden müssen.
Die in unserer vierteljährlichen Sicherheitsmitteilung angekündigten Updates beheben schwerwiegende Schwachstellen in den Informationen, auf die der Bedrohungsakteur zugegriffen hat. Darüber hinaus haben wir hier zusätzliche Ressourcen bereitgestellt, die Kunden dabei unterstützen, ihre F5-Umgebungen abzusichern und zu überwachen. Wir werden weiterhin eng mit der CISA und unseren Kunden zusammenarbeiten, um Klarheit, Transparenz und Vertrauen in unsere Produkte zu gewährleisten.
Warum haben Sie den Vorfall nicht früher offengelegt?
Wir wissen, dass bei der Kommunikation über Sicherheitsvorfälle schnelles Handeln wichtig ist, und haben uns bemüht, den Vorfall zeitnah, verantwortungsvoll, präzise und mit konkreten Handlungsempfehlungen offenzulegen. Zudem haben wir eng mit den Strafverfolgungsbehörden und unseren Regierungspartnern zusammengearbeitet.
Welche Auswirkungen hat der Zugriff des Bedrohungsakteurs auf den BIG-IP-Quellcode?
Erstens liegen uns keine Hinweise auf Änderungen an unserer Software-Lieferkette vor, einschließlich unseres Quellcodes sowie unserer Build- und Release-Pipelines. Diese Einschätzung wurde durch unabhängige Prüfungen der führenden Cybersicherheitsforschungsunternehmen NCC Group und IOActive bestätigt. Um weiterhin eine strenge Kontrolle zu gewährleisten, werden wir sie auch künftig mit fortlaufenden Analysen beauftragen.
Zweitens fordern wir unsere Kunden dringend auf, ihre BIG-IP-Software so schnell wie möglich zu aktualisieren. Die neuen Versionen wurden bereits 24.000-mal heruntergeladen, sodass eine beträchtliche Zahl unserer Kunden auf dem besten Weg ist, die aktualisierte Software einzusetzen. Darüber hinaus haben wir unseren Kunden mehr als 200 kundenspezifische Versionen bereitgestellt.
In den kommenden Wochen werden wir außerdem ein Bug-Bounty-Programm starten, um die Produktsicherheit weiter zu stärken.
Wie kann ich mit CrowdStrike Falcon auf BIG-IP loslegen?
CrowdStrike Falcon Sensor und Overwatch Threat Hunting sind ab sofort im Early Access für BIG-IP Virtual Edition (VE) verfügbar. Die Verfügbarkeit auf BIG-IP Hardwaresystemen wird folgen. Indem F5 Kunden den CrowdStrike Falcon Sensor direkt in die F5 BIG-IP Plattform integrieren und den Managed-Threat-Hunting-Service CrowdStrike Falcon Adversary OverWatch nutzen können, bringen die Unternehmen adaptive, KI-gestützte Sicherheit an den Netzwerkperimeter, über den Unternehmen den Datenverkehr ihrer geschäftskritischsten Anwendungen und APIs abwickeln.
F5 bietet berechtigten BIG-IP Kunden bis zum 14. Oktober 2026 kostenlosen Zugang, damit sie KI-native Sicherheit und Threat Hunting auf Netzwerkebene ohne Vorabkosten sofort einsetzen können. Interessierte F5 BIG-IP Kunden finden weitere Informationen und können hier loslegen.
Werden Sie weitere Patches veröffentlichen? Ist in Kürze mit zusätzlichen Releases zu rechnen?
Wir planen, unseren bisherigen Rhythmus bei BIG-IP-Updates und -Fehlerbehebungen beizubehalten. Wir werden alle Schwachstellen gemäß unserer Richtlinie zum Umgang mit Schwachstellen beheben und kommunizieren. Nach derzeitigem Stand und auf Grundlage unserer Untersuchung der verfügbaren Protokolle liegen uns jedoch keine Erkenntnisse über nicht offengelegte kritische Schwachstellen oder Schwachstellen zur Remotecodeausführung vor. Ebenso sind uns keine Berichte über eine aktive Ausnutzung nicht offengelegter F5-Schwachstellen bekannt.
Können wir IOCs erhalten?
IOCs sind für F5-Kunden auf Anfrage erhältlich. Kunden können einen Supportfall über MyF5 eröffnen oder sich direkt an den F5-Support oder ihr Account-Team wenden, um IOCs und einen Leitfaden für die Bedrohungssuche zu erhalten.
Der Leitfaden zur Bedrohungssuche wurde von CrowdStrike erstellt und ist nicht speziell auf F5 zugeschnitten. Er soll Sie dabei unterstützen, in Ihrer eigenen Umgebung nach dem Bedrohungsakteur zu suchen.
Welche Versionen von BIG-IP enthalten die Fehlerbehebung?
Die aktualisierten Versionen von BIG-IP, die Kunden installieren sollten:
- BIG-IP 17.5.1.3
- BIG-IP 17.1.3
- BIG-IP 16.1.6.1
- BIG-IP 15.1.10.8
Weitere Informationen zu diesen Releases und den von uns behobenen Sicherheitslücken finden Sie in der vierteljährlichen Sicherheitsmitteilung vom Oktober.
Was sollten wir tun, wenn wir eine End-of-Life-Version (EOL) verwenden, die von F5 nicht unterstützt wird?
Wir empfehlen dringend, alle Softwareversionen, deren Support eingestellt wurde (EOL), auf eine derzeit von F5 unterstützte Version zu aktualisieren, damit Sie über die neuesten Sicherheitsupdates und Verbesserungen verfügen.
Sie können sich direkt an den F5-Support wenden, um Unterstützung bei der Aktualisierung Ihrer BIG-IP-Systeme zu erhalten.
Über den Autor
Chris Burger ist Chief Information Security Officer bei F5 und verantwortet dort die Cybersicherheitsstrategie, die entsprechenden Programme sowie die Governance. Als pragmatischer Cybersicherheitsexperte verfügt Chris über jahrzehntelange Erfahrung in den Bereichen Reaktion auf Sicherheitsvorfälle, Sicherheitsbetrieb und Security Engineering. Vor seiner Tätigkeit bei F5 war er der erste CISO von Slalom und für die Sicherheitsstrategie und Governance des Unternehmens verantwortlich, um dessen globale Geschäftstätigkeit und Wachstum zu unterstützen. Im Laufe seiner Karriere leitete Chris Cybersicherheitsteams in den stark regulierten Branchen Finanzdienstleistungen und Telekommunikation und war unter anderem bei Washington Mutual, Corbis, Clearwire und Russell Investments tätig.
Weitere Blogbeiträge von Christopher BurgerÄhnliche Blogbeiträge
Wie CISOs KI-Sicherheitsrisiken messen können
Erfahren Sie, wie CASI, ARS und die Threat Intelligence von F5 Labs CISOs dabei unterstützen, KI-Sicherheitsrisiken über den gesamten KI-Lebenszyklus hinweg zu bewerten.
Drei Kräfte, die die Sicherheitsführung neu gestalten: verteilte KI-Inferenz, Bedrohungsentwicklung und hybride Multicloud
Entdecken Sie die neuesten KI-Trends, die die Sicherheitslandschaft rasant verändern.
F5-Bericht 2026: KI-Inferenz ist angekommen und macht eine ohnehin komplexe IT-Landschaft noch komplizierter
Neu veröffentlichte Forschungsergebnisse von F5 zeigen, dass die Mehrheit der Unternehmen KI-Inferenz intern durchführt und ein durchschnittliches Unternehmen inzwischen sieben KI-Modelle nutzt.
Inferenz: Der wichtigste Teil der KI, von dem du so tust, als gäbe es ihn nicht
KI zu skalieren bedeutet, die Inferenz zu skalieren. Erfahren Sie, warum Inferenzserver für die Verwaltung von Leistung, Telemetrie und Sicherheit bei produktiven KI-Workloads entscheidend sind.
Umgang mit Anwendungsschwachstellen: Best Practices für Sicherheitstests
Sowohl das Ausmaß als auch die Komplexität von Anwendungsschwachstellen nehmen rasant zu. Erfahren Sie, warum ein proaktiver, mehrschichtiger Ansatz für Sicherheitstests unerlässlich ist.
Wie steht SecOps zu KI?
F5 führte eine umfassende Stimmungsanalyse unter Sicherheitsexperten auf Reddit durch, um ihre Ansichten zu KI zu untersuchen.