給 BIG-IP 管理者 · iSeries、rSeries tenant · GUI 操作

BIG-IP 升級步驟：備份設定，升級到修正版

本頁說明如何備份 BIG-IP 的設定，再升級到 F5 修正版。iSeries 設備與 rSeries 上的 BIG-IP tenant 都適用。請先完成第 1 部分的備份，再做第 2 部分的升級。

開始前

項目說明
適用範圍BIG-IP 本身的升級：iSeries 設備，與 rSeries 上的 BIG-IP tenant。rSeries 的 F5OS 平台不受這個漏洞影響，不在本頁範圍。
目標版本17.1.x 升到 17.1.3.7，17.5.x 升到 17.5.1.11，21.1.x 升到 21.1.0.4。其他版本見升級對照表。iSeries 不支援 21.x（K9476）。rSeries tenant 可用的版本，請用 K86001294 確認。
需要的檔案從 MyF5 Downloads 下載 base image ISO 與對應的 .md5 檔。修正版是正式版本，不需要另外安裝 Hotfix。
需要的權限BIG-IP GUI 的 admin 帳號，與 SSH 的 root 帳號。rSeries 請登入 tenant 的 BIG-IP，不是 F5OS。
服務中斷只有 2-3 啟用新版本時，BIG-IP 會重新開機（rSeries 是 tenant 重新開機），約 15–30 分鐘。請在維護時段進行。
HA 架構本頁以單機為例。HA 架構的升級方式，請參考 F5 升級指南 K84205182 的 Chapter 7、8。

第 1 部分　備份設定

1-1　建立 UCS 備份檔

GUI 路徑System ›› Archives
1

按右上角的 Create

Archive List 右上角的 Create
2

在 File Name 輸入檔名，按 Finished

其他欄位使用預設值。

輸入檔名，按 Finished

1-2　下載 UCS 備份檔

1

在 Archive List 點選備份檔名

點選 .ucs 檔名
2

在 Archive File 欄位按 Download，存到電腦

按 Download 下載 .ucs 檔

1-3　記錄 Master Key

以 SSH 用 root 登入，執行下面的指令。輸出的一行字串，就是這台設備的 Master Key。

f5mku -K
Master Key 要和 UCS 一起保存UCS 中加密的資料，要用 Master Key 才能解開。Master Key 和密碼一樣重要，請不要截圖或用 email 傳送。

第 2 部分　升級

2-1　上傳 ISO

GUI 路徑System ›› Software Management : Image List
1

在 Available Images 右側按 Import

Available Images 右側的 Import
2

按「選擇檔案」，選擇下載的 ISO

選擇電腦上的 ISO 檔
3

確認檔名，按 Import

確認檔名，按 Import

Progress 欄位會顯示上傳進度。上傳完成前，不要離開這個頁面。

上傳中
4

確認檔案完整

用 SCP 把 .md5 檔上傳到 /shared/images，再以 SSH 執行下面的指令。把檔名換成實際的檔名。

cd /shared/images
md5sum --check <iso_file_name>.md5

顯示 OK 才繼續。

2-2　安裝到沒有使用中的磁區

1

在 Available Images 勾選新版本的 ISO，按 Install

勾選新版本，按 Install
2

Select Disk 選 HD1，Volume set name 選 Active 為 No 的磁區，按 Install

先在 Installed Images 確認哪些磁區的 Active 是 No（這個例子是 HD1.2、HD1.3）
一定要選 Active 為 No 的磁區選到使用中的磁區，會覆寫正在運作的系統。
不要輸入新的磁區名稱請從下拉選單選擇既有的磁區。輸入新名稱會建立新的磁區，可能因為磁碟空間不足而安裝失敗。
3

在 Install Status 確認進度，等到顯示 complete

安裝中

i2600 實測：安裝約 22–32 分鐘。安裝期間不影響服務。

2-3　切換開機磁區，啟用新版本

1

Install Status 顯示 complete 後，按 Boot Locations 分頁

新版本的磁區顯示 complete
2

點選新版本所在的磁區

Status 為 Inactive 的是新版本的磁區
3

Install Configuration 選 Yes，Source Volume 選目前使用中的磁區，按 Activate

Install Configuration：Yes；Source Volume：目前使用中的磁區
按 Activate 後 BIG-IP 會重新開機約 15–30 分鐘，期間服務中斷。iSeries 開機時如果要更新硬體韌體，時間可能更長。這段時間不要關閉電源。

如果 Source Volume 是空白、無法選擇，做 2-4。否則跳到 2-5。

2-4　Source Volume 無法選擇時

1

以 SSH 執行 tmsh show sys software，找出兩個磁區

tmsh show sys software
這個例子中，HD1.1（Active 為 yes）是使用中的磁區，HD1.2 是新版本的磁區
2

把設定複製到新版本的磁區

# cpcfg --source=<active volume> <new volume>
cpcfg --source=HD1.1 HD1.2

HD1.1 換成使用中的磁區，HD1.2 換成新版本的磁區。

3

回到 Boot Locations，Install Configuration 選 No，按 Activate

設定已經用 cpcfg 複製，所以這裡選 No

BIG-IP 會重新開機，約 15–30 分鐘。

2-5　確認升級完成

重新開機時，GUI 會顯示等待畫面。不要關閉電源。

重新開機中
1

到 Image List，確認新版本磁區的 Active 與 Default Boot 都是 Yes

新版本的磁區已是 Active 與 Default Boot
2

以 SSH 確認版本

tmsh show sys version

Version 應顯示升級後的版本，例如 17.5.1.11。

3

確認 PHP 已包含修正

rpm -q php --changelog | grep CVE-2026-109618

應顯示 Fixed CVE-2026-109618 & CVE-2026-109619。修正版的 PHP 版本仍顯示 5.4.45，這是正常的。F5 把修正 backport 到這個版本，版本號碼沒有改變（K000163821）。

升級後

1

以 SSH 用 root 登入，建立檔案並重新啟動 Apache

cat > /etc/php.ini.d/K000163878.ini <<'EOF'
; The configuration mitigations recommended by PHP for CVE-2026-115560
; These will NOT survive an upgrade of BIG-IP TMOS.
session.upload_progress.enabled = 0
EOF
bigstart restart httpd
# APM systems only:
bigstart restart httpd_sam

檔案內容取自 F5 K000163878。重新啟動 httpd 時，GUI 會短暫無法使用。重新啟動 httpd_sam 可能中斷 APM webtop 連線。

2

確認設定已生效

php -i | grep session.upload_progress.enabled

設定前顯示 On，設定後應顯示 Off。

每台都要做HA 的每台設備都要做。多 blade 的系統，每個 blade 都要做（使用 clsh bigstart restart httpd）。下次升級 TMOS 後，這個檔案也不會保留。