F5 BIG-IP APM CVE-2026-94127：加固设置无法阻止的未认证 RCE

文章讨论 F5 BIG-IP Access Policy Manager 中的 CVE-2026-94127：F5 于 2026-09-22 发布公告 K000162605，CISA 同日将其列入已知被利用漏洞目录。该漏洞为处理 OAuth 流量的数据平面路径中的堆缓冲区溢出（CWE-122），CVSS v3.1 评分 9.8、v4.0 评分 9.3，未认证攻击者可发送构造流量破坏内存并可能导致远程代码执行，无需凭据与用户交互。漏洞仅影响同时运行 APM 访问策略与 OAuth 的虚拟服务器。

AI推荐理由 涉及具体 CVE 编号、厂商公告 K000162605、CISA 已知被利用漏洞目录收录、CVSS 9.8/9.3 评分及 CWE-122 堆缓冲区溢出等技术细节，信息密度高且可验证；但来源为个人技术博客，需以 F5 官方公告为准，且触发条件（同时运行 APM 访问策略与 OAuth 的虚拟服务器）限制了影响范围。