BIG-IP 設備本身：升級與緩解

受影響的版本與修正版

嚴重度為 CVSS v3.1。不受影響：BIG-IQ、F5 Insight、F5OS、NGINX 全系列、F5 Distributed Cloud、BIG-IP Next。F5 只評估還沒有到 EoTS（End of Technical Support）的版本，15.1 及更舊的版本不在評估範圍，也不會有修正版。

升級的優先順序

請依設備的情況，決定升級的時程。

「管理介面已限制存取」要同時符合 3 個條件

1. 管理埠只允許管理網段連線（httpd allow 清單或前端防火牆）。見緩解 2-1。
2. 所有 Self IP 的 Port Lockdown 都不允許 TCP 443。Allow Default 包含 TCP 443。見緩解 2-2。
3. 只有完全可信任的管理者有登入帳號。見緩解 2-3。

用下列唯讀指令確認：

# provisioned if the output shows "level ..."
tmsh list sys provision apm
tmsh list sys provision sslo
# management port allow list
tmsh list sys httpd allow
# check allow-service of each self IP
tmsh list net self

Self IP 的 allow-service 如果是 default、all，或清單中有 tcp:443，表示這個 Self IP 可以連到管理介面。

• F5 在 2026-10-22 版的 K000163821 把 SSLO 與 APM 列在同一列，最新版只列 APM。本頁把 SSLO 歸到第 1 類。
• 有啟用 APM，但沒有 virtual server 套用 Access profile 時，F5 沒有說明是否受影響。本頁歸到第 1 類。

升級到修正版

• iSeries 硬體不支援 21.x，請選 17.1.3.7 或 17.5.1.11（K9476）。rSeries 的 BIG-IP tenant 可用的版本，請用 K86001294 確認。
• F5 也為 17.1.3.6、17.5.1.10 提供 engineering hotfix。Engineering hotfix 沒有經過完整的 QA 測試，建議直接升級到上表的正式版本。
• 安裝檔從 MyF5 Downloads 下載，連結見 K000163848。

升級前

1. 建立 UCS 備份，下載到電腦保存。
2. 用 f5mku -K 查看 Master Key，和 UCS 一起保存。
3. 在維護時段進行。啟用新版本時，設備會重新開機。

升級後

1. 用 tmsh show sys version 確認版本。
2. 用 rpm -q php --changelog | grep CVE-2026-109618 確認 PHP 已包含修正。應顯示 Fixed CVE-2026-109618 & CVE-2026-109619。
3. 建議建立 /etc/php.ini.d/K000163878.ini，再重新啟動 Apache（見下方）。
4. 繼續保留緩解 2 的管理介面存取限制。

cat > /etc/php.ini.d/K000163878.ini <<'EOF'
; The configuration mitigations recommended by PHP for CVE-2026-115560
; These will NOT survive an upgrade of BIG-IP TMOS.
session.upload_progress.enabled = 0
EOF
bigstart restart httpd
# APM systems only:
bigstart restart httpd_sam

緩解 1　調整 BIG-IP 上的 PHP 設定（還沒升級的設備）

F5 建議套用 PHP 官方提供的設定緩解。請先在測試環境確認，再套用到正式設備。

cat > /etc/php.ini.d/K000163821.ini <<'EOF'
; The configuration mitigations recommended by PHP for CVE-2026-109618 and CVE-2026-109619
; These will NOT survive an upgrade of BIG-IP TMOS.
memory_limit = -1
post_max_size = 8M
upload_max_filesize = 7M
session.upload_progress.enabled = 0
EOF

bigstart restart httpd
# APM systems only:
bigstart restart httpd_sam

重新啟動期間 GUI 會短暫無法使用。重新啟動 httpd_sam 可能中斷 APM webtop 連線，使用者要重新連線。請在維護時段執行。

php -i | grep -E "Additional .ini|memory_limit|post_max_size|upload_max_filesize|session.upload_progress.enabled"

「Additional .ini files parsed」應包含 /etc/php.ini.d/K000163821.ini，4 個設定值應與上面的檔案相同。

參考：在 BIG-IP 17.5.1.8 上，套用前的值如下（以上述指令唯讀查得）：

緩解 2　限制管理介面的存取

F5 建議只讓可信任的使用者與設備，經由安全的網路連到管理介面。

2-1　管理埠：只允許可信任的來源 IP（K13309）

預設允許所有來源 IP（allow { All }）。用 tmsh 改成只允許管理網段：

tmsh list /sys httpd allow
tmsh modify /sys httpd allow replace-all-with { 192.0.2.0/255.255.255.0 }
tmsh save /sys config

範例中的 192.0.2.0/24 請換成實際的管理網段，可列多個。

2-2　Self IP：關閉 GUI 的存取（K17333）

Self IP 的 Port Lockdown 若設為 Allow Default，預設清單已包含 TCP 443（HTTPS），也就是可以從 Self IP 連到管理介面。請改成不含 TCP 443 的設定：

tmsh list /net self
# no access to the self IP (ICMP is always allowed)
tmsh modify /net self <self_ip_name> allow-service none
# HA network failover only
tmsh modify /net self <self_ip_name> allow-service replace-all-with { udp:1026 }
tmsh save /sys config

• HA 設備之間的 config sync（TCP 4353）與 mirroring 埠，不受 Port Lockdown 限制，會繼續運作。
• 如果 DNS（GTM）的 iQuery 不是走 config sync 位址，要另外開放 TCP 4353。
• 如果必須在 Self IP 開放 TCP 443，可用 BIG-IP 的 packet filter 限制來源網段（K13383）。

2-3　管理帳號

移除不是完全可信任的管理帳號，或降低其權限。管理介面的攻擊需要已登入的帳號。

參考資料

• K000163821：PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619
• K000163848：What are the releases for the October 23 Critical Release
• K000163878：PHP vulnerability CVE-2026-115560
• K9476：The F5 hardware/software compatibility matrix
• K86001294：F5OS hardware/software support matrix
• K13845：Overview of supported BIG-IP upgrade paths and an upgrade planning reference
• K13309：Restricting access to the Configuration utility by source IP address
• K17333：Overview of port lockdown behavior (12.x - 21.x)
• K46122561：Restrict access to the BIG-IP management interface using network firewall rules
• K13383：Configure CIDR Network Addresses for the BIG-IP packet filter
• K000160309：Peer Device IP Needs to Be in HTTPD Allow List to Establish Device Trust