F5 menawarkan virtual patching dalam hitungan menit—uji masih milik vendor

Melalui rilis produk bertanggal 1 September 2026, F5 memperkenalkan deteksi anomali dan threat intelligence agentik untuk WAF serta menyatakan virtual patching dan integrasi F5 Distributed Cloud Web App Scanning dengan F5 WAF for BIG-IP telah tersedia; dalam dokumen yang sama, perusahaan mencantumkan efektivitas deteksi 98% dan false positive 1% dari pengujian internalnya.

Bagi pengguna, fungsi F5 virtual patching adalah mengubah temuan pemindai menjadi aturan perlindungan pada jalur permintaan aplikasi dalam hitungan menit. Ini merupakan mitigasi sementara sambil perbaikan kode disiapkan, bukan pengganti patch permanen, dan angka performanya belum didukung pengujian independen yang dipublikasikan bersama peluncuran tersebut.

Fitur yang tersedia dan yang masih diluncurkan bertahap

Virtual patching bekerja dengan menghubungkan hasil F5 Distributed Cloud Web App Scanning dengan penegakan kebijakan WAF saat trafik menuju aplikasi. Untuk lingkungan hibrida, aturan yang sama dapat diperluas melalui integrasi dengan F5 WAF for BIG-IP.

Aturan dapat menggunakan signature yang tersedia atau dibuat khusus menurut CVE, jalur serangan, metode HTTP, header, maupun parameter. Uraian GEC Newswire tentang cakupan aturan juga memuat ketersediaan virtual patching dan integrasi BIG-IP tersebut, tetapi tidak menyajikan pengujian produknya sendiri.

Status seluruh kemampuan baru tidak sama. Virtual patching serta integrasi WAS–BIG-IP tersedia saat pengumuman, sedangkan deteksi anomali dan threat intelligence agentik sedang digulirkan kepada pelanggan F5 WAF for Distributed Cloud dan dijadwalkan menjangkau pengguna lebih luas dalam beberapa bulan berikutnya. Liputan Help Net Security pada 2 September 2026 memuat pembagian status ketersediaan yang sama.

“Dalam hitungan menit” merujuk pada mitigasi runtime

Klaim kecepatan F5 merujuk pada waktu untuk mengubah temuan pemindaian menjadi perlindungan yang ditegakkan WAF. Permintaan yang cocok dengan aturan dapat dihentikan sebelum mencapai bagian aplikasi yang rentan, tanpa menunggu siklus perubahan kode selesai.

Virtual patch tidak menghilangkan kerentanan dasarnya. Kode atau dependensi yang bermasalah tetap harus diperbaiki, diuji, dan diterapkan melalui proses perubahan normal. Perlindungan sementara juga hanya bekerja pada trafik yang melewati titik penegakan WAF dan sesuai dengan cakupan aturan.

Kecepatan penerapan karena itu tidak sama dengan kelengkapan perlindungan. Aturan yang terlalu luas dapat memblokir permintaan sah, sedangkan aturan yang terlalu sempit dapat melewatkan variasi eksploitasi. Nilai utamanya adalah memperpendek masa paparan ketika remediasi permanen belum siap.

Klaim performa belum menjadi benchmark independen

Dua angka yang dipublikasikan F5 berlaku untuk solusi WAF berbasis AI dalam pengujian internal perusahaan. Angka tersebut tidak boleh dipindahkan begitu saja menjadi jaminan bagi setiap virtual patch, aplikasi, API, konfigurasi kebijakan, atau pola trafik produksi.

Materi peluncuran tidak memberikan rincian yang cukup untuk mereproduksi hasil itu secara independen, seperti komposisi sampel, volume dan jenis trafik, konfigurasi kebijakan, definisi ancaman yang terdeteksi, serta cara false positive dihitung. Liputan eksternal yang mengonfirmasi peluncuran juga mengulang hasil vendor tanpa menyertakan eksperimen pembanding.

Konsekuensinya, efektivitas dan tingkat gangguan perlu dinilai pada lingkungan tempat aturan diterapkan. Pola trafik sah, parameter dinamis, bentuk API, ambang pemblokiran, dan ketepatan cakupan aturan dapat menghasilkan tingkat deteksi maupun false positive yang berbeda dari pengujian internal F5.

Respons produksi perlu memisahkan lima tahap

Untuk mempertahankan manfaat mitigasi cepat tanpa menyamakan virtual patch dengan remediasi, prosedur respons sebaiknya memisahkan bukti dan keputusan pada lima tahap:

1. Pemindaian: dokumentasikan aset, endpoint, CVE atau jenis kelemahan, dan jalur yang dapat dijangkau sebelum membuat aturan.
2. Aturan virtual: batasi kebijakan menurut signature, CVE, jalur serangan, metode, header, atau parameter yang relevan; catat dengan jelas apa yang dicakup dan tidak dicakup.
3. Observasi: pantau permintaan yang diblokir serta trafik sah setelah aturan aktif. False positive harus diukur pada aplikasi sendiri, bukan diasumsikan sama dengan hasil pengujian vendor.
4. Rollback: tentukan kondisi untuk mempersempit atau menonaktifkan aturan apabila layanan sah terganggu, tanpa menutup catatan kerentanan yang menjadi pemicu awal.
5. Perbaikan permanen: perbaiki kode atau dependensi, uji perubahan, terapkan melalui change control, lalu verifikasi remediasi sebelum perlindungan sementara dilepas.

Pemisahan ini mencegah dua kesimpulan yang berbeda tetapi sama-sama berisiko. Temuan pemindai belum membuktikan bahwa aturan aman untuk langsung memblokir seluruh trafik yang cocok; keberhasilan WAF menghentikan permintaan uji juga belum membuktikan bahwa kerentanan telah hilang dari aplikasi.

Rollback hanya membatasi dampak aturan yang bermasalah, bukan menyelesaikan kerentanan. Sesudah patch permanen diterapkan, verifikasi tetap diperlukan agar rute lama, instance yang tertinggal, atau kebijakan WAF tidak menutupi kegagalan penerapan kode.

Bukti yang masih ditunggu

Hingga 7 September 2026, kemampuan virtual patching dan integrasi WAS–BIG-IP telah ditawarkan, sementara dua kemampuan pendukung masih diluncurkan bertahap. Belum tersedia publikasi pengujian independen yang mereproduksi klaim performa dengan metodologi dan kondisi yang dapat dibandingkan.

Posisi teknisnya tetap terbatas tetapi berguna: F5 virtual patching dapat menyediakan mitigasi pada jalur permintaan lebih cepat daripada perubahan kode, tetapi tidak memperbaiki sumber kerentanan. Penilaian yang lebih kuat masih menunggu metodologi vendor yang lebih lengkap atau pengujian pihak ketiga, sedangkan keputusan pemblokiran perlu didasarkan pada observasi trafik di lingkungan pengguna sendiri.

Baca juga:

• SafeMind mempertemukan AI penyerang dan pembela dalam satu loop
• YouTube menawarkan jutaan dolar untuk eksklusivitas, distribusi jadi taruhannya
• Claudeforce membawa 37 keterampilan CRM ke dalam Claude