Ein schnellerer Veröffentlichungsrhythmus: Was sich bei F5 ändert und was Sie tun müssen

Kunal AnandChief Product Officer | F5

Anmerkung der Redaktion (13. August 2026): Um unsere Kunden in einer sich rasant entwickelnden Bedrohungslandschaft besser zu schützen, haben wir den Zeitplan für unsere Sicherheitsupdates und unseren Offenlegungsprozess aktualisiert. Lesen Sie bitte den neuesten Blogbeitrag von Kunal Anand mit aktuellen Informationen zum Schutz Ihrer Organisation.

Anmerkung der Redaktion (14. Oktober 2026): F5 bezeichnet „gehärtete Releases“ nun als „kritische Releases“. Diese terminologische Änderung unterstreicht die Bedeutung dieser Releases und wie wichtig es ist, die neueste Version so schnell wie möglich bereitzustellen.

Vor Kurzem habe ich darüber berichtet, wie F5 modernste KI-Modelle einsetzt, um Schwachstellen in unserem eigenen Code zu finden und zu beheben. Mehr Probleme schneller zu finden, ist nur die halbe Arbeit. Die andere Hälfte besteht darin, unseren Kunden diese Korrekturen ebenso schnell zur Verfügung zu stellen. Ein vierteljährlicher Veröffentlichungsrhythmus stammt aus einer anderen Zeit. In einer Welt, in der sich das Zeitfenster für Patches praktisch umgekehrt hat, reicht eine vierteljährliche Veröffentlichung nicht mehr aus.

Ich bin überzeugt, dass KI das Kräfteverhältnis letztlich zugunsten der Verteidiger verschieben wird. Doch derzeit ist das Gegenteil der Fall. Angreifer können eine entdeckte Schwachstelle schneller in einen funktionierenden Exploit verwandeln, als die meisten Unternehmen sie beheben können. Mit den folgenden Änderungen beginnen wir, dieses Gleichgewicht wiederherzustellen – durch eine schnellere Behebung von Schwachstellen und eine schnellere Bereitstellung.

Diese Änderungen sind nicht isoliert entstanden. Seit mehreren Monaten hören wir Kunden zu, die F5 in ihren kritischsten Bereichen einsetzen, und lernen von ihnen. Dazu gehören Unternehmen mit einigen der weltweit größten und komplexesten Infrastrukturen. Wir haben ihre Rückmeldungen ernst genommen und passen deshalb unseren Ansatz an.

Was sich an unserem Veröffentlichungsrhythmus ändert

Es gibt zwei wichtige Änderungen, über die Sie und Ihre Teams Bescheid wissen müssen.

1. Wir stellen auf monatliche Releases gehärteter Software um. Releases gehärteter Software werden ab dem 15. Juli jeweils am dritten Mittwoch des Monats veröffentlicht.

Jede Version wird eine breite Palette von Fehlerbehebungen enthalten. Diese ergeben sich aus unseren KI-Scans, aus Problemen, die bei der weiteren Untersuchung der dabei gewonnenen Erkenntnisse zutage treten, aus Hinweisen interner Teams und externer Forschender sowie aus unseren eigenen Maßnahmen zur Verbesserung von Sicherheit und Stabilität. Da sich führende KI-Modelle kontinuierlich weiterentwickeln, werden immer schneller neue Probleme entdeckt, sodass diese Versionen eine wachsende Zahl von Fehlerbehebungen umfassen werden.

Wir haben schon immer empfohlen, die neueste Version einzusetzen. Das gilt heute mehr denn je. Ich rate Ihnen dringend, diese Versionen so schnell wie möglich bereitzustellen – und zwar nicht nur, wenn sie Sicherheitslücken mit kritischem Schweregrad beheben. Branchenweit gelingt es Angreifern zunehmend, Sicherheitslücken mit niedrigem und mittlerem Schweregrad zu neuartigen Exploits zu verketten. Daher lässt der Schweregrad einer einzelnen Fehlerbehebung immer weniger verlässliche Rückschlüsse auf ihre Bedeutung zu. Behandeln Sie jede Version so, als würde sie eine kritische Sicherheitslücke schließen.

Wir werden nur begrenzte Details zu den konkreten Fehlerbehebungen in den einzelnen Releases veröffentlichen. Angesichts der Fähigkeiten dieser Modelle werden wir Angreifern keine Anleitung an die Hand geben, mit der sie Schwachstellen aufspüren und Exploits dafür entwickeln können, bevor Kunden die Möglichkeit hatten, die entsprechenden Patches einzuspielen.

2. Vierteljährliche Sicherheitsmitteilungen werden zu monatlichen Sicherheitsmitteilungen. Wir beabsichtigen, monatliche Sicherheitsmitteilungen zu Schwachstellen zu veröffentlichen, die in der gehärteten Version des Vormonats behoben wurden. Dabei behalten wir uns die Flexibilität vor, Zeitpunkt, Inhalt oder Art der Mitteilung anzupassen, wenn gesetzliche oder vertragliche Vorgaben, Verpflichtungen zur koordinierten Offenlegung, die Abstimmung mit Behörden, eine aktive Ausnutzung, die Bewertung der Wesentlichkeit, Sperrfristen oder Erwägungen zum Schutz der Kunden ein anderes Vorgehen erfordern. Die erste Mitteilung erscheint am 19. August und bezieht sich auf die Version vom 15. Juli.

Diese Verzögerung ist beabsichtigt. Sie gibt Ihnen ein Zeitfenster für die Aktualisierung, bevor weitere Informationen veröffentlicht werden. Wir werden auch außerhalb des monatlichen Rhythmus weiterhin Sicherheitswarnungen herausgeben, wenn dringende Informationen zu Sicherheitslücken Sie unverzüglich erreichen müssen.

Mit dieser Umstellung auf einen monatlichen Rhythmus für gehärtete Releases und Sicherheitsbenachrichtigungen werden wir Ihnen auch weiterhin Folgendes bereitstellen:

• Wartungsversionen (F5 BIG-IP, F5 BIG-IQ, F5OS, F5 NGINX) mit Fehlerbehebungen, einschließlich einer Zusammenfassung aktueller CVE-Korrekturen, kleiner Funktionen und Verbesserungen mit Schwerpunkt auf Stabilität und Fehlerbehebung.
• Hauptversionen (BIG-IP, BIG-IQ, F5OS) im Zusammenhang mit Meilensteinen der Produkt-Roadmap, die neue Funktionen, Module und Leistungsmerkmale sowie grundlegende Verbesserungen der Sicherheitsarchitektur umfassen.
• Jährliche Releases mit langfristiger Stabilität (NGINX), die eine stabile Grundlage für Organisationen bieten, die Wert auf Konsistenz und verlängerte Supportzeiträume legen.
• Technische Hotfixes (EHFs) zur Behebung dringender Probleme, die sofortige Abhilfemaßnahmen erfordern und je nach Auswirkung auf Kunden bei Bedarf veröffentlicht werden.

Was Sie jetzt tun können

Wir sind nicht der einzige Anbieter, der auf häufigere Releases umstellt. Da die Patch-Frequenz in der gesamten Branche zunimmt, müssen Ihre Teams häufiger Updates von einer wachsenden Zahl von Anbietern einspielen. Das stellt eine echte betriebliche Belastung dar, und wir setzen alles daran, Ihnen diese Aufgabe zu erleichtern, statt sie zu erschweren.

Einige Dinge, die Sie jetzt tun können:

• F5 Insight for ADSP bereitstellen. Wir investieren umfassend in das Flottenmanagement und werden schon sehr bald ein Update veröffentlichen. Diese Funktionen werden über F5 Insight bereitgestellt. Wenn Sie es jetzt bereitstellen, erhalten Sie Einblick in Ihren aktuellen Status und schaffen die Voraussetzungen dafür, das Flottenmanagement zu nutzen, sobald es verfügbar ist.
• Automatisieren Sie Updates in Ihrer gesamten BIG-IP-Umgebung. Nutzen Sie Automatisierungen von F5 und Red Hat Ansible Collections, um häufigere Sicherheitsupdates ohne zusätzlichen manuellen Aufwand einspielen zu können.
• Beauftragen Sie F5 Professional Services. Wir unterstützen Sie bei der Entwicklung eines automatisierten, risikoarmen und auf Ihre Umgebung zugeschnittenen Aktualisierungsprozesses, damit kürzere Aktualisierungszyklen zum Vorteil statt zur Belastung werden.

Was Sie von uns erwarten können

Ein schnellerer Rhythmus verlangt Ihnen mehr ab. Folgendes können Sie von uns erwarten, während wir diese Änderungen einführen und uns auf die nächsten Entwicklungen einstellen:

• Der Schutz unserer Kunden steht an erster Stelle. Sie vertrauen uns Ihre geschäftskritischsten Abläufe an, und bei jeder Änderung, die wir vornehmen, sind wir uns dieser Verantwortung bewusst.
• Wir werden alle erforderlichen Ressourcen einsetzen, um Schwachstellen schnell zu finden und zu beheben. Wir haben eine spezielle Infrastruktur aufgebaut und Entwicklungskapazitäten aus dem gesamten Unternehmen gebündelt, damit Sie unsere Produkte mit gutem Gewissen einsetzen können.
• Wir setzen uns weiterhin für Transparenz, eine verantwortungsvolle Offenlegung und den Austausch mit der Sicherheitscommunity ein. Eine verzögerte Offenlegung bedeutet nicht weniger Offenlegung. Wir werden weiterhin mit Kunden, Forschenden und führenden KI-Laboren zusammenarbeiten, während wir uns gemeinsam an diese neue Bedrohungslandschaft anpassen.
• Wir werden uns auch weiterhin anpassen, wenn sich Ihre Anforderungen und die Bedrohungen weiterentwickeln. Dieser Rhythmus ist für unsere heutige Situation angemessen. Mit derselben Konsequenz, mit der wir uns vom vierteljährlichen Rhythmus verabschiedet haben, werden wir ihn erneut anpassen, wenn die Lage es erfordert.

Die Realität, mit der wir konfrontiert sind, ist, dass jeder Fortschritt, der uns dabei hilft, Schwachstellen zu finden, auch Angreifern zur Verfügung steht. Darauf haben wir uns vorbereitet: mit der nötigen Infrastruktur, den passenden Tools und der operativen Stärke, um Probleme zu erkennen und zu beheben und Ihnen Patches so schnell wie möglich bereitzustellen. Diese Arbeit geht unvermindert weiter. Vielen Dank für Ihre partnerschaftliche Unterstützung, während wir diese Herausforderung gemeinsam bewältigen.

Weitere Informationen zu unserem Umgang mit Sicherheitslücken finden Sie in unserer Richtlinie zur Offenlegung von Sicherheitslücken. Details zu jeder gehärteten Version werden veröffentlicht, sobald sie verfügbar sind. Wenn Sie Fragen haben oder Hilfe bei der Umstellung auf diesen neuen Rhythmus benötigen, wenden Sie sich jederzeit an den F5-Support.

Über den Autor

Kunal AnandChief Product Officer | F5

Kunal Anand leitet als Chief Product Officer die Produktorganisation von F5. Er ist für Produktvision, Strategie und Umsetzung verantwortlich und stellt die Entwicklung wegweisender Lösungen sicher, die kritische Herausforderungen bewältigen und außergewöhnliche Kundenerlebnisse schaffen. In seiner vorherigen Funktion als Chief Technology and AI Officer bestimmte Kunal die Technologie- und KI-Strategie sowie die entsprechende Vision des Unternehmens. Vor seiner Zeit bei F5 hatte Kunal bei Imperva die Doppelfunktion des Chief Technology Officer und Chief Information Security Officer inne. Sein Weg zu Imperva begann 2018 mit der Übernahme von Prevoty, einem 2013 von ihm mitgegründeten Start-up für Anwendungssicherheit. Vor seinem Wechsel zu Prevoty war er Director of Technology bei BBC Worldwide. Kunal verfügt über langjährige Innovations- und umfassende technische Erfahrung und leitete bei Gravity, MySpace und dem NASA Jet Propulsion Lab Teams in den Bereichen Sicherheit, Daten, Technologie und Engineering. Kunal verfügt über mehr als 15 Jahre Erfahrung in den Bereichen KI und maschinelles Lernen – von Modelltraining und dem Einsatz KI-gestützter Algorithmen zur Produktoptimierung bis hin zur Konzeption und Implementierung von KI-Architekturen. Kunal hat einen Bachelor-of-Science-Abschluss in Informatik vom Babson College.

Weitere Blogbeiträge von Kunal Anand