CVE-2025-53521: kritická zraniteľnosť F5 BIG-IP a postup pre firmy

Zraniteľnosť CVE-2025-53521 vo F5 BIG-IP Access Policy Manager pridala americká agentúra pre kybernetickú bezpečnosť CISA (Cybersecurity and Infrastructure Security Agency) koncom marca 2026 do svojho katalógu známych zneužívaných zraniteľností. Dôvodom je potvrdené aktívne zneužívanie útočníkmi v reálnom prostredí. Pre firmy, ktoré používajú BIG-IP na riadenie prístupu do siete, ide o varovanie vyžadujúce okamžitú pozornosť. Nižšie nájdete, čo zraniteľnosť umožňuje, ako zistiť, či bolo zariadenie napadnuté, a postup pre IT tím krok za krokom.

Čo je zraniteľnosť CVE-2025-53521

Zraniteľnosť evidovaná pod označením CVE-2025-53521 má podľa bodovacieho systému CVSS v4 kritické hodnotenie 9.3 z 10. Umožňuje útočníkovi vzdialené spuštenie škodlivého kódu (Remote Code Execution) na zariadení F5 BIG-IP APM bez potreby prihlásenia alebo fyzického prístupu. Podľa informácií zverejnených portálom The Hacker News ide o vážny problém, ktorý sa týka zariadení s nakonfigurovanou prístupovou politikou APM na virtuálnom serveri.

Zaujímavé je, že spoločnosť F5 pôvodne túto chybu kategorizovala ako problém spôsobujúci výpadok služby (DoS) s nižším hodnotením 8.7. V marci 2026 však na základe nových informácií upravila klasifikáciu a potvrdila, že zraniteľnosť umožňuje vzdialené spuštenie kódu a bola aktívne zneužitá na skutočných systémoch. Výrobca zatiaľ neuviedol podrobnosti o tom, kto za útokmi stojí.

Prečo je to dôležité pre slovenské firmy

Zariadenia F5 BIG-IP patria medzi populárne riešenia pre riadenie prístupu a správu sieťovej prevádzky vo väčších firmách a organizáciách. Na Slovensku ich využívajú najmä stredné a väčšie spoločnosti, ktoré potrebujú sofistikovanú správu počítačových sietí a zabezpečenie vzdialeného prístupu zamestnancov.

Ak útočník zneužije túto zraniteľnosť, môže získať plnú kontrolu nad týmto zariadením. To v praxi znamená prístup k citlivým firemným dátam, možnosť odpočúvania komunikácie, blokovanie služieb alebo dokonca použitie kompromitovaného zariadenia ako odrazového mostíka pre ďalšie útoky vo vnútornej sieti. Pre firmy, ktoré riešili modernizáciu firemnej siete v roku 2026, je tento incident pripomienkou, že bezpečnosť nie je jednorazová záležitosť.

Ako zistiť, či bolo vaše zariadenie napadnuté

Spoločnosť F5 zverejnila sériu indikátorov kompromitácie, ktoré môžu IT špecialistom pomôcť identifikovať napadnutý systém. Medzi kľúčové znaky patrí prítomnosť podozrivých súborov v adresári /run/, konkrétne súborov bigtlog.pipe a bigstart.ltm, ktoré by tam za normálnych okolností nemali byť.

Ďalším varovným signálom je zmena kontrolných súčtov (hash) alebo veľkosti systémových súborov ako /usr/bin/umount alebo /usr/sbin/httpd. Útočníci tiež často zanechajú stopy v systémových logoch, kde možno nájsť záznamy o prístupe lokálneho používateľa k iControl REST API z localhost, alebo pokusy o vypnutie bezpečnostného modulu SELinux.

Pre bežného majiteľa firmy sú tieto technické detaily zložité, preto je kľúčové mať implementovaný IT monitoring 24/7, ktorý dokáže takéto anomálie zachytiť automaticky.

Čo robiť, ak používate F5 BIG-IP

Najdôležitejším krokom je okamžitá aktualizácia systému na najnovšiu verziu s bezpečnostnou záplatou. Spoločnosť F5 vydala opravu, ktorá zraniteľnosť odstraňuje. Ak nemôžete aktualizovať okamžite, odporúčame aspoň dočasné bezpečnostné opatrenia, ako je obmedzenie prístupu k zariadeniu len z dôveryhodných IP adries.

Ďalším krokom je dôkladná kontrola systémových logov a súborov podľa indikátorov kompromitácie zverejnených výrobcom. Ak máte pochybnosti, či bolo vaše zariadenie napadnuté, alebo ak nemáte vlastný IT tím, ktorý by vedel vykonať takúto kontrolu, je vhodné obrátiť sa na odborníkov na ochranu siete a zariadení.

Postup pre IT tím: CVE-2025-53521 krok za krokom

Ak vo firme BIG-IP máte, odporúčame postupovať v tomto poradí. Prvé štyri kroky by mali byť hotové v priebehu jedného až dvoch dní.

1. Inventúra: zistite, ktoré zariadenia BIG-IP prevádzkujete vrátane virtuálnych a cloudových inštancií, či majú aktívny modul APM a či je prístupová politika priradená virtuálnemu serveru.
2. Porovnanie verzií: overte verziu systému voči bezpečnostnému bulletinu F5 k tejto zraniteľnosti, kde výrobca uvádza zraniteľné aj opravené verzie.
3. Obmedzenie prístupu: správcovské rozhranie zariadenia nemá byť dostupné z internetu. Ak je, okamžite ho obmedzte na internú správcovskú sieť alebo vybrané IP adresy.
4. Kontrola kompromitácie ešte pred aktualizáciou: prejdite indikátory kompromitácie zverejnené výrobcom a zálohujte logy. Aktualizácia útočníka, ktorý už v zariadení je, neodstráni.
5. Aktualizácia: nasaďte opravenú verziu a overte, že prihlasovanie používateľov funguje.
6. Pri náleze: zariadenie považujte za kompromitované. Izolujte ho, zmeňte heslá a kľúče, ktoré na ňom boli uložené, napríklad servisné účty na prepojenie s adresárom a certifikáty, a zvážte reinštaláciu z čistého obrazu. Preverte aj systémy, ku ktorým malo zariadenie prístup.

Ak vaša firma spadá pod zákon o kybernetickej bezpečnosti, potvrdená kompromitácia môže byť incidentom, ktorý treba nahlásiť v zákonných lehotách. Toto rozhodnutie nenechávajte na koniec, lehoty plynú od zistenia incidentu.

Prevencia je lepšia než riešenie následkov

Tento incident je pripomienkou, že kybernetické hrozby sú reálne a aktívne. Nejde len o teoretické riziká, ale o útoky, ktoré sa dejú práve teraz. Pre slovenské firmy je dôležité mať nastavené procesy pravidelnej aktualizácie hardvéru a softvéru, kontinuálny monitoring a zálohový plán pre prípad bezpečnostného incidentu.

Podobne ako je potrebné včas upgradovať sieťový hardware, aj bezpečnostné záplaty musia byť nasadzované systematicky a bez zbytočných odkladov. Systémy, ktoré nie sú pravidelne aktualizované, sa stávajú ľahkým terčom pre útočníkov. Či sú okrajové zariadenia a firemná sieť zvonku naozaj uzavreté, overia penetračné testy siete.

Prečo útočníci cielia na okrajové zariadenia

BIG-IP nie je výnimka. Zariadenia na okraji siete, teda VPN brány, firewally, vyrovnávače záťaže a prístupové brány, patria v posledných rokoch medzi najčastejšie zneužívané systémy. Dôvod je jednoduchý: sú dostupné z internetu, majú prístup do vnútornej siete a často na nich nebeží ochrana ani detekcia, akú majú servery a počítače. Útočník, ktorý takéto zariadenie ovládne, sa ocitne vo vnútri siete bez toho, aby musel oklamať jediného zamestnanca.

Firmy so stovkami používateľov a viacerými lokalitami majú takýchto zariadení desiatky, často od rôznych výrobcov. Osvedčuje sa preto viesť ich samostatný zoznam s menom zodpovednej osoby, sledovať bezpečnostné bulletiny výrobcov aj katalóg aktívne zneužívaných zraniteľností CISA a mať dohodnuté mimoriadne okno na aktualizácie, ktoré sa dá využiť do niekoľkých dní, nie až pri najbližšej plánovanej údržbe. S nezávislým preverením nastavení a odolnosti týchto zariadení vám pomôžu služby IT bezpečnosti pre firmy.

Ako vám môžeme pomôcť

Ak vaša firma používa F5 BIG-IP alebo iné sieťové zariadenia a nie ste si istí, či sú dostatočne zabezpečené, radi vám pomôžeme s bezpečnostným auditom a nastavením pravidelného monitoringu. Naše služby IT podpory zahŕňajú aj pravidelné kontroly zraniteľností a promptné nasadzovanie bezpečnostných záplat.

Nemusíte riešiť technické detaily sami. Profesionálna starostlivosť o IT infraštruktúru vám umožní sústrediť sa na vaše podnikanie, zatiaľ čo o bezpečnosť a stabilitu vašej siete sa postaráme my. Kontaktujte nás a spoločne nájdeme riešenie, ktoré bude vyhovovať potrebám a rozpočtu vašej firmy.

Čo by vás ešte mohlo zaujímať

Čo znamená skratka RCE a prečo je to také nebezpečné?

RCE (Remote Code Execution) označuje typ zraniteľnosti, ktorá útočníkovi umožňuje spustiť vlastný kód na vzdialenom zariadení bez potreby prihlásenia. V praxi to znamená, že útočník získa takmer neobmedzenú kontrolu nad zariadením a môže vykonať takmer čokoľvek, čo by mohol urobiť oprávnený administrátor. Môže kradnúť dáta, inštalovať škodlivý softvér alebo použiť napadnuté zariadenie na ďalšie útoky.

Ako často by som mal aktualizovať firemný sieťový hardvér?

Bezpečnostné záplaty by mali byť inštalované čo najskôr po ich vydaní, ideálne do niekoľkých dní. Kritické zraniteľnosti, ako je táto od F5, vyžadujú okamžitú reakciu. Pravidelné kontroly dostupnosti aktualizácií by sa mali vykonávať minimálne raz týždenne. Fyzická výmena hardvéru závisí od typu zariadenia, ale obvykle sa odporúča každých 5 až 7 rokov.

Môže moja malá firma byť terčom takéhoto útoku?

Áno. Hoci zariadenia F5 BIG-IP používajú skôr stredné a väčšie firmy, automatizované útoky necieľa selektívne. Útočníci skenujú internet a hľadajú zraniteľné systémy bez ohľadu na veľkosť firmy. Malé firmy sú dokonca často atraktívnejším cieľom, pretože majú zvyčajne slabšiu bezpečnosť a menej zdrojov na obranu.

Čo mám robiť, ak nemám vlastný IT tím?

Ak nemáte interného IT špecialistu, najlepším riešením je spolupráca s externe poskytovateľom IT služieb, ktorý dokáže pravidelne kontrolovať vašu infraštruktúru, inštalovať aktualizácie a monitorovať bezpečnostné hrozby. Moderné riešenia umožňujú vzdialený monitoring a správu, takže nemusíte mať IT odborníka fyzicky na mieste.

Ktorých zariadení sa CVE-2025-53521 týka?

Týka sa systémov F5 BIG-IP s modulom Access Policy Manager, na ktorých je prístupová politika priradená virtuálnemu serveru. Presný zoznam zraniteľných a opravených verzií uvádza bezpečnostný bulletin výrobcu. Ak modul APM nemáte aktívny, táto konkrétna chyba sa vás podľa dostupných informácií netýka, systém však aj tak udržiavajte aktuálny.

Stačí zraniteľné zariadenie len aktualizovať?

Nie vždy. Ak bolo zariadenie pred aktualizáciou vystavené útoku, útočník v ňom mohol zanechať zadné vrátka, ktoré aktualizácia neodstráni. Preto treba pred aktualizáciou aj po nej skontrolovať indikátory kompromitácie a pri podozrení zmeniť prístupové údaje uložené na zariadení.

Čo je katalóg KEV od CISA?

KEV, teda Known Exploited Vulnerabilities, je verejný zoznam zraniteľností, pri ktorých americká agentúra CISA potvrdila zneužívanie v praxi. Americké federálne úrady musia takéto chyby odstrániť v stanovenom termíne. Pre firmy kdekoľvek je to užitočný signál, ktoré záplaty nasadiť prednostne.