Na semana passada, divulgamos um grave incidente de segurança envolvendo um agente de ameaças altamente sofisticado ligado a um Estado-nação. Como CISO, sei como é receber esse tipo de notícia de um parceiro. Entendo o quanto isso tem sido difícil e prejudicial para os clientes, e pedimos sinceras desculpas pelo incidente — pelo qual assumimos total responsabilidade.
Ao longo da última semana, conversamos com centenas de clientes e também com grupos de colegas CISOs. Quero agradecer aos nossos clientes e à comunidade de segurança em geral pela parceria demonstrada durante este período desafiador.
Estamos comprometidos em aprender com este incidente e sabemos que há aspectos que podemos melhorar. Nossa principal conclusão até o momento é que nossos controles eram inconsistentes — robustos em alguns pontos, mas não em outros. Faremos melhor.
Equipes de toda a empresa se mobilizaram para agir de forma rápida e coordenada, com o objetivo de restaurar a confiança e elevar permanentemente o nível de segurança. Aprimoramos a automação do nosso inventário e do gerenciamento de patches, além de reforçarmos nosso monitoramento para detecção e resposta. Estamos ampliando nossos recursos de confiança zero em toda a nossa infraestrutura e operações e firmamos uma parceria com a CrowdStrike para levar visibilidade avançada de endpoints ao F5 BIG-IP. Na verdade, estamos executando o CrowdStrike EDR em nossos dispositivos BIG-IP de borda corporativa. Também estamos oferecendo essa mesma proteção aos nossos clientes para suas frotas de BIG-IP.
Continuamos trabalhando 24 horas por dia para corrigir essa situação, em parceria com nossos clientes em todas as etapas. À medida que avançarmos em nossa investigação e identificarmos as lições aprendidas com este incidente, compartilharemos nossas conclusões para ajudar a fortalecer a comunidade de segurança como um todo.
Nesse sentido, abaixo estão as perguntas mais frequentes que tenho recebido dos clientes neste momento, acompanhadas de respostas e orientações:
Que tipo de dados de clientes o agente da ameaça acessou?
Alguns dos arquivos exfiltrados de nossa plataforma de gestão do conhecimento continham informações relacionadas a uma pequena porcentagem de clientes. É importante ressaltar que continuamos sem evidências de acesso ou exfiltração de dados de nossos sistemas de CRM, finanças, gerenciamento de casos de suporte ou F5 iHealth. Os dados de clientes afetados que identificamos consistem principalmente em anotações internas sobre interações com clientes, que podem incluir informações usadas para solução de problemas, desenvolvimento de funcionalidades e solicitações de correção de bugs.
Nossa análise detalhada desses arquivos está em andamento. Embora estejamos avançando rapidamente, estamos dedicando o tempo necessário para fornecer informações precisas. Já notificamos os clientes cujos dados identificamos até o momento e continuaremos a atualizá-los diretamente à medida que obtivermos mais informações.
As informações exfiltradas foram divulgadas publicamente ou na Dark Web?
Não identificamos o compartilhamento público ou na Dark Web de informações exfiltradas neste incidente, nem qualquer evidência de exploração ativa das vulnerabilidades que foram acessadas.
A CISA emitiu uma Diretriz de Emergência sobre o incidente. Os clientes devem se preocupar?
Embora não tenhamos conhecimento de vulnerabilidades críticas ou de execução remota de código não divulgadas, nem da exploração das vulnerabilidades que divulgamos na semana passada, a diretriz da CISA reforça (1) a forte recomendação feita em nosso comunicado para que os clientes atualizem o software BIG-IP o mais rápido possível e (2) nossa orientação de configuração de que as interfaces de gerenciamento nunca devem ser expostas à Internet pública e devem sempre ser protegidas por meio de segmentação adequada, isolamento de rede e controle de acesso.
As atualizações anunciadas em nossa Notificação Trimestral de Segurança corrigem vulnerabilidades de alta gravidade nas informações acessadas pelo agente da ameaça, e disponibilizamos recursos adicionais para ajudar os clientes a reforçar a segurança e monitorar seus ambientes F5 aqui. Continuaremos colaborando estreitamente com a CISA e nossos clientes para garantir clareza, transparência e confiança em nossos produtos.
Por que vocês não divulgaram o incidente antes?
Sabemos que a agilidade é importante ao comunicar incidentes de segurança e nos empenhamos em divulgar o incidente de maneira oportuna, responsável, precisa e que permitisse a tomada de medidas. Também temos trabalhado em estreita colaboração com as autoridades policiais e nossos parceiros governamentais.
Qual é o impacto do acesso do agente de ameaça ao código-fonte do BIG-IP?
Primeiro, não temos evidências de alterações em nossa cadeia de suprimentos de software, incluindo nosso código-fonte e nossos pipelines de compilação e lançamento. Essa avaliação foi validada por meio de análises independentes realizadas pelas principais empresas de pesquisa em segurança cibernética NCC Group e IOActive. Para manter uma supervisão rigorosa, continuaremos contando com elas para análises contínuas.
Em segundo lugar, estamos recomendando aos clientes que atualizem o software BIG-IP o mais rápido possível. As novas versões já foram baixadas 24 mil vezes, portanto, um número significativo de nossos clientes está a caminho de utilizar o software atualizado. Também fornecemos mais de 200 versões personalizadas aos clientes.
Nas próximas semanas, também lançaremos um programa de recompensa por bugs para reforçar ainda mais a segurança dos produtos.
Como posso começar a usar o CrowdStrike Falcon no BIG-IP?
O CrowdStrike Falcon Sensor e o Overwatch Threat Hunting já estão disponíveis para acesso antecipado no BIG-IP Virtual Edition (VE), e posteriormente estarão disponíveis nos sistemas de hardware BIG-IP. Ao permitir que os clientes da F5 incorporem o Falcon Sensor da CrowdStrike diretamente à plataforma F5 BIG-IP e utilizem o serviço gerenciado de busca de ameaças CrowdStrike Falcon Adversary OverWatch, as empresas estão levando a segurança adaptativa baseada em IA ao perímetro da rede, onde as organizações recebem o tráfego de suas aplicações e APIs mais críticas.
A F5 está oferecendo aos clientes BIG-IP qualificados acesso gratuito até 14 de outubro de 2026, permitindo a adoção imediata de segurança nativa de IA e busca de ameaças no nível da rede, sem custos iniciais. Os clientes F5 BIG-IP interessados podem obter mais detalhes e começar aqui.
Vocês lançarão mais patches? Devemos esperar novos lançamentos em breve?
Planejamos manter nossa cadência contínua de atualizações e correções do BIG-IP. Abordaremos e comunicaremos quaisquer vulnerabilidades de acordo com nossa política de resposta a vulnerabilidades. Dito isso, neste momento, com base em nossa investigação dos logs disponíveis, não temos conhecimento de vulnerabilidades críticas ou de execução remota de código que não tenham sido divulgadas, nem de relatos de exploração ativa de quaisquer vulnerabilidades não divulgadas da F5.
Podemos obter os IOCs?
Os IOCs estão disponíveis para clientes da F5 mediante solicitação. Os clientes podem abrir um chamado de suporte no MyF5 ou entrar em contato com o suporte da F5 ou diretamente com suas equipes de contas para obter os IOCs e um guia de investigação de ameaças.
O guia de investigação de ameaças foi elaborado pela CrowdStrike e não é específico para a F5. Ele tem como objetivo ajudar você a procurar o agente da ameaça em seu próprio ambiente.
Quais são as versões corrigidas do BIG-IP?
As versões atualizadas do BIG-IP que os clientes devem instalar:
- BIG-IP 17.5.1.3
- BIG-IP 17.1.3
- BIG-IP 16.1.6.1
- BIG-IP 15.1.10.8
Você pode encontrar mais informações sobre essas versões e as vulnerabilidades que corrigimos na Notificação Trimestral de Segurança de outubro.
O que devemos fazer se estivermos usando uma versão em fim de vida útil (EOL) sem suporte da F5?
Recomendamos enfaticamente atualizar todas as versões de software em fim de vida útil (EOL) para versões atualmente compatíveis com a F5, a fim de garantir que você tenha as atualizações e melhorias de segurança mais recentes.
Você pode entrar em contato com o suporte da F5 diretamente para obter ajuda na atualização dos seus sistemas BIG-IP.
Sobre o autor
Chris Burger é o Diretor de Segurança da Informação da F5, onde lidera a estratégia, os programas e a governança de segurança cibernética. Líder pragmático em segurança cibernética, Chris traz décadas de experiência em resposta a incidentes de segurança, operações e engenharia. Antes de ingressar na F5, foi o primeiro CISO da Slalom, responsável por supervisionar a estratégia e a governança de segurança da empresa para apoiar seus negócios e seu crescimento global. Ao longo de sua carreira, Chris liderou equipes de segurança cibernética nos setores altamente regulamentados de serviços financeiros e telecomunicações, tendo ocupado cargos na Washington Mutual, Corbis, Clearwire e Russell Investments.
Mais publicações de Christopher BurgerPublicações relacionadas no blog
Insights do modelo de segurança de IA do F5 Labs: quando agentes de IA expõem dados sem a presença de um invasor
Agentes tentando realizar tarefas inofensivas podem causar exposições inesperadas de dados e riscos para os negócios se os limites impostos a eles não forem rigorosamente aplicados.
Estratégias de segurança para IA multimodelo: duas medidas para tomar agora
Principais medidas que as empresas podem adotar hoje para melhorar a visibilidade da IA multimodelo e a segurança cibernética em meio ao crescimento explosivo da IA agêntica.
Como CISOs podem mensurar os riscos de segurança da IA
Saiba como o CASI, o ARS e a inteligência de ameaças do F5 Labs ajudam os CISOs a mensurar os riscos de segurança de IA em todo o ciclo de vida da IA.
Inferência: a parte mais importante da IA que você finge que não existe
Escalar a IA significa escalar a inferência. Saiba por que os servidores de inferência são essenciais para gerenciar desempenho, telemetria e segurança em cargas de trabalho de IA em produção.
IL5/6 não vai salvar você: a injeção de prompts ameaça LLMs somente leitura
À medida que os LLMs são integrados aos ambientes IL5/IL6 do Departamento de Defesa dos EUA, descubra como as soluções da F5 protegem os dados, evitam ataques de injeção e aprimoram os modelos de confiança zero.
O que o SecOps pensa sobre IA? Parte 2: Proteção de dados
A F5 realizou uma análise abrangente do sentimento de profissionais de segurança no Reddit sobre suas opiniões a respeito da IA.