# F5 BIG-IP APM piraté : un rootkit Linux vit dans la mémoire d'Apache

> Sophos et ESET détaillent un implant qui exploite la faille critique CVE-2025-53521 pour infiltrer les passerelles d'accès distant de F5, sans jamais toucher au disque.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/f5-big-ip-apm-rootkit-linux-attaque
- Auteur : Kelvyn
- Publié le : 9 septembre 2026 (2026-09-09T03:40:00.000Z)
- Mis à jour le : 9 septembre 2026 (2026-09-09T04:56:51.304Z)
- Rubrique : Cybersécurité
- Sujets : Cybersécurité, Vulnérabilités, F5, Rootkit, Réseaux d'entreprise
- Langue : français

F5 a confirmé l'exploitation active d'une faille critique dans BIG-IP Access Policy Manager (APM), sa passerelle d'accès distant utilisée par de nombreuses grandes entreprises. De leur côté, Sophos et ESET ont analysé, chacun indépendamment, un rootkit Linux découvert sur des boîtiers compromis — vraisemblablement une charge déployée après coup, une fois la faille exploitée. Sa particularité : il n'écrit presque rien sur le disque.

## Une porte dérobée qui ne vit qu'en mémoire

Selon l'analyse de Sophos, l'implant arrive en deux temps. Un premier composant, jouant le rôle d'installeur, modifie le binaire Apache /usr/sbin/httpd des boîtiers BIG-IP APM puis détourne le chargement de la bibliothèque PHP pour intercepter les appels mémoire du serveur web. Quand Apache charge trois fichiers PHP légitimes de l'interface webtop de l'APM, le rootkit insère un web shell directement dans les pages mémoire correspondantes, sans toucher aux fichiers sur disque : les outils qui vérifient l'intégrité des fichiers au repos ne voient rien d'anormal.

Le web shell se déclenche sur un préfixe précis reçu en POST, déchiffre son instruction et l'exécute, tout en renvoyant une réponse HTTP 201 avec un en-tête « text/css » pour se fondre dans le trafic normal. L'implant ouvre en plus une socket Unix locale protégée par mot de passe, capable de lancer un shell bash sans jamais ouvrir de port TCP — invisible à un scan réseau classique. L'installeur modifie aussi la configuration SELinux et s'accroche au mécanisme de mise à jour du firmware BIG-IP, si bien qu'une simple mise à niveau de l'appliance ne suffit pas forcément à l'éliminer.

ESET a baptisé ce rootkit « PoisonedRefresh » ; Sophos le détecte sous le nom Linux/Agnt-IC. Les deux équipes ont comparé leurs résultats et confirment qu'il s'agit du même implant.

## CVE-2025-53521 : d'une simple panne à une prise de contrôle totale

La faille associée, CVE-2025-53521, touche le composant APM quand une politique d'accès est rattachée à un serveur virtuel BIG-IP. Elle permet l'exécution de code à distance sans authentification : une requête forgée suffit, sans identifiant volé ni erreur de configuration particulière au-delà d'un usage courant de l'APM.

F5 avait publié un correctif dès octobre 2025, quand la faille était classée comme un simple bug de déni de service de sévérité moyenne. Ce n'est qu'à la fin mars 2026 que F5 l'a reclassée en exécution de code critique, avec un score CVSS proche de 9,8, après avoir constaté des attaques réelles déployant des web shells sur des boîtiers non mis à jour. La CISA a ajouté la CVE à son catalogue des vulnérabilités activement exploitées le 27 mars 2026, imposant aux agences fédérales américaines un correctif sous trois jours. L'exploitation active est donc confirmée, mais elle ne concerne en pratique que les boîtiers restés sans le correctif — disponible depuis octobre 2025.

> À faire sans attendre : vérifiez la version de vos boîtiers BIG-IP APM et appliquez le correctif référencé par F5 (bulletin K000156741) si ce n'est pas déjà fait. Cherchez ensuite les indices de compromission décrits par Sophos : requêtes POST inhabituelles vers apm_css.php3, full_wt.php3 ou webtop_popup_css.php3 renvoyant un code 201 avec un en-tête text/css, présence d'une socket /run/bigtlog.pipe, ou processus Apache lisant /proc/self/maps ou lançant /bin/bash. En cas de doute, ne vous contentez pas d'une mise à niveau du firmware : le rootkit est conçu pour y survivre. Réimagez l'appliance depuis une source fiable et vérifiez l'intégrité du binaire httpd.

## Pourquoi les boîtiers d'accès distant restent une cible de choix

BIG-IP APM n'est pas un serveur web comme un autre : c'est une passerelle d'accès distant et de gestion d'identité, exposée en frontal sur internet et souvent maintenue avec prudence pour éviter toute coupure de service. La compromettre offre une vue directe sur les flux d'authentification et un point d'entrée vers le réseau interne — la même logique qui a rendu les boîtiers Ivanti, Citrix ou Fortinet si recherchés ces dernières années.

Le contexte n'aide pas : F5 avait révélé en octobre 2025 une intrusion attribuée à un acteur étatique « hautement sophistiqué », qui avait exfiltré du code source de BIG-IP et des informations sur des failles alors non publiées. Rien dans les sources consultées ne relie formellement cet incident à la campagne de rootkit décrite ici, mais il illustre à quel point le code et la connaissance des failles de F5 sont devenus une cible en soi.

> « la capacité de web shell existe toujours, mais elle n'est plus ancrée dans un fichier statique sur le disque » — **Luke Mitchell**, chercheur chez Sophos X-Ops ([source](https://www.sophos.com/en-us/blog/dissecting-a-php-web-server-rootkit))

## Ce qui reste à confirmer

- Le nombre réel de boîtiers effectivement infectés : les chiffres publics (plus de 850 IP encore vulnérables selon Shadowserver et le NCSC néerlandais, après un pic à plus de 14 000 instances exposées) mesurent l'exposition à la faille, pas une compromission confirmée.
- L'attribution de la campagne à un groupe précis n'est établie dans aucune des sources consultées.
- L'étendue géographique et sectorielle des cibles réellement touchées par le rootkit n'est pas détaillée publiquement à ce stade.

## Source

Bleeping Computer, « Hackers breach F5 BIG-IP APM devices to deploy Linux rootkit » — [article](https://www.bleepingcomputer.com/news/security/hackers-breach-f5-big-ip-apm-devices-to-deploy-linux-rootkit/)

Sophos X-Ops, « Dissecting a PHP web server rootkit » — [article](https://www.sophos.com/en-us/blog/dissecting-a-php-web-server-rootkit)

F5, bulletin de sécurité K000156741 (CVE-2025-53521) — [article](https://my.f5.com/manage/s/article/K000156741)

The Hacker News, « CISA Adds CVE-2025-53521 to KEV After Active F5 BIG-IP APM Exploitation » — [article](https://thehackernews.com/2026/03/cisa-adds-cve-2025-53521-to-kev-after.html)

## À retenir

- Sophos et ESET ont identifié indépendamment un rootkit Linux (« PoisonedRefresh » / Linux/Agnt-IC) sur des boîtiers F5 BIG-IP APM compromis.
- Le rootkit injecte un web shell directement en mémoire du processus Apache, sans modifier les fichiers sur disque, et survit aux mises à jour du firmware.
- La faille exploitée, CVE-2025-53521, est une exécution de code à distance sans authentification ; F5 en avait publié le correctif dès octobre 2025, avant de la reclasser en critique fin mars 2026 après des attaques confirmées.
- La CISA a inscrit la faille à son catalogue des vulnérabilités activement exploitées ; patcher immédiatement et chercher les indices de compromission décrits par Sophos est la priorité.
- Le nombre de boîtiers réellement infectés et l'attribution de la campagne restent non confirmés à ce jour.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/f5-big-ip-apm-rootkit-linux-attaque