F5 corrige une vaste série de failles : BIG-IP et NGINX sont concernés

F5 a publié les 2 et 3 septembre 2026 une série de bulletins et de correctifs concernant notamment BIG-IP, BIG-IQ et plusieurs composants NGINX. La campagne a débuté par une notification de sécurité hors bande de F5 datée du 2 septembre.

Le 3 septembre, les autorités française et canadienne ont recensé les produits et branches affectés. Pour BIG-IP, les seuils généraux corrigés sont 17.1.3.4, 17.5.1.8, 21.0.0.3 et 21.1.0.1 ; NGINX Gateway Fabric doit atteindre 2.6.8, tandis que NGINX Ingress Controller doit passer à 5.6.0 ou 2026-lts-r5 selon sa ligne de maintenance.

Les premières versions corrigées par produit et par branche

Le bulletin du Centre canadien pour la cybersécurité indique les versions antérieures considérées comme affectées. La limite doit être lue à l’intérieur de la branche correspondante : elle ne signifie pas qu’une version portant un numéro plus élevé dans une autre ligne constitue automatiquement une migration compatible.

• BIG-IP 17.1.x : les versions antérieures à 17.1.3.4 sont affectées ; premier seuil corrigé, 17.1.3.4.
• BIG-IP 17.5.x : les versions antérieures à 17.5.1.8 sont affectées ; premier seuil corrigé, 17.5.1.8.
• BIG-IP 21.0.x : les versions antérieures à 21.0.0.3 sont affectées ; premier seuil corrigé, 21.0.0.3.
• BIG-IP 21.1.x : les versions antérieures à 21.1.0.1 sont affectées ; premier seuil corrigé, 21.1.0.1.
• BIG-IQ 8.4.x : les versions antérieures à 8.4.2.1 sont affectées ; premier seuil corrigé, 8.4.2.1.
• NGINX Gateway Fabric 2.x : les versions antérieures à 2.6.8 sont affectées ; premier seuil corrigé, 2.6.8.
• NGINX Ingress Controller 5.x : les versions antérieures à 5.6.0 sont affectées ; premier seuil corrigé, 5.6.0.
• NGINX Ingress Controller 2026-lts-rx : les versions antérieures à 2026-lts-r5 sont affectées ; premier seuil corrigé, 2026-lts-r5.
• NGINX JavaScript : les versions antérieures à 1.0.1 sont affectées ; premier seuil corrigé, 1.0.1.
• APM Clients 7.2.x : les versions antérieures à 7.2.6 sont affectées ; premier seuil corrigé, 7.2.6.

BIG-IP APM demande une lecture distincte. Pour ses vulnérabilités propres, les versions 17.1.x antérieures à 17.1.3.1 et 17.5.x antérieures à 17.5.1.4 sont mentionnées comme affectées. Ces niveaux restent toutefois inférieurs aux seuils généraux de BIG-IP dans les mêmes branches : pour couvrir tout le lot signalé, une installation BIG-IP APM doit donc retenir le seuil BIG-IP le plus élevé applicable, soit 17.1.3.4 ou 17.5.1.8.

Une série de neuf vulnérabilités aux effets différents

L’avis du CERT-FR du 3 septembre associe cette publication à neuf bulletins F5 et neuf références CVE. Les risques recensés pour l’ensemble comprennent l’exécution de code arbitraire à distance, l’élévation de privilèges, le déni de service à distance, la falsification de requêtes côté serveur, le contournement d’une politique de sécurité ainsi que des atteintes possibles à la confidentialité ou à l’intégrité des données.

Ces impacts ne s’appliquent pas tous indistinctement à chaque produit. Les synthèses gouvernementales agrègent les risques et les plages de versions, sans établir une matrice complète reliant chaque CVE à chaque module, configuration et condition d’exploitation. Le numéro de version permet donc un premier tri, mais le bulletin F5 associé à la vulnérabilité reste nécessaire pour déterminer si une fonction précise est exposée.

Les deux avis ne déclarent pas qu’une exploitation active de cette série a été observée. Cette absence ne démontre pas qu’aucune tentative n’existe ; elle signifie seulement que les informations publiques examinées ne permettent pas de présenter ces correctifs comme une réponse confirmée à une attaque en cours.

L’ordre de migration dépend de l’exposition réelle

La première décision consiste à identifier le produit, la branche et le numéro complet installés. Les mentions générales « BIG-IP 17 » ou « NGINX Ingress » sont insuffisantes, puisque les seuils diffèrent entre les branches 17.1, 17.5, 21.0 et 21.1 de BIG-IP, ainsi qu’entre NGINX Ingress Controller 5.x et sa ligne 2026-lts-rx.

1. Inventorier séparément les instances BIG-IP, les consoles BIG-IQ, les clients APM et les composants NGINX déployés.
2. Comparer chaque version au seuil de sa propre branche, puis vérifier que la version de destination demeure prise en charge et compatible avec l’environnement.
3. Donner la priorité aux systèmes exposés et aux interfaces d’administration lorsque leur version se situe sous le seuil publié, compte tenu des impacts à distance recensés.
4. Consulter le bulletin correspondant à la CVE et au produit avant le changement afin d’identifier les conditions particulières et les éventuelles mesures temporaires.
5. Après la mise à niveau, vérifier la version réellement active sur chaque nœud ainsi que le fonctionnement du trafic dans les configurations à haute disponibilité ou les clusters Kubernetes.

Cet ordre constitue une méthode de gestion du risque, pas un classement officiel des neuf vulnérabilités. La priorité locale dépend également des modules activés, de l’accessibilité depuis Internet, des protections déjà en place et des contraintes de continuité de service.

Les limites des avis agrégés

Les avis français et canadien concordent sur les principaux seuils concernant BIG-IP, BIG-IQ, NGINX Gateway Fabric, NGINX Ingress Controller, NGINX JavaScript et APM Clients. Ils fournissent ainsi une base commune pour repérer rapidement une version située sous la première correction publiée.

Ils ne remplacent pas les bulletins détaillés de l’éditeur, notamment pour BIG-IP APM, résumé par l’avis canadien sous la mention de versions multiples, ni pour les branches arrivées en fin de support. Une installation hors maintenance peut nécessiter un changement de branche plutôt qu’une simple mise à jour corrective. En l’absence d’une correspondance publique complète entre CVE, modules et configurations, le seuil de version est le point de départ de l’évaluation, et non la preuve qu’un déploiement particulier est exploitable.

À lire aussi:

• Castelion annonce 1 milliard : 250 millions sont une ligne de crédit
• YouTube compte chaque démarrage comme une vue, pas comme de l’attention
• Choisir une IA pour sa TPE : commencez par les données, pas par la marque