Cyberattaque – F5 BIG-IP : des pirates ont volé des informations sur des failles non corrigées !
Très importante alerte de sécurité du côté de la société américaine F5 : un groupe de pirates s'est introduit dans ses systèmes et a réussi à voler le code source de son produit phare, BIG-IP, ainsi que des informations sur des vulnérabilités non corrigées. Une intrusion inquiétante… Faisons le point.
Pour rappel, F5 est une entreprise américaine mondialement connue qui compte plus de 23 000 clients dans 170 pays. Les produits de F5 sont aussi utilisés par 48 des 50 plus grandes entreprises du classement Fortune 50, notamment son produit phare BIG-IP. Cet équipement de sécurité réseau regroupe plusieurs fonctions, dont celles de firewall.
Une intrusion de longue date et des données sensibles dérobées
L'incident a été découvert par F5 le 9 août 2025, mais l'enquête réalisée a permis de révéler que les attaquants disposaient d'un accès depuis longtemps, sans qu'une durée soit précisée. "En août 2025, nous avons appris qu’un acteur malveillant étatique hautement sophistiqué avait maintenu un accès persistant à long terme à certains systèmes F5 et en avait téléchargé des fichiers.", peut-on lire. Cette attaque a donc été menée par un groupe sponsorisé par un État.
Les cybercriminels ont eu accès à l'environnement de développement de BIG-IP et à une plateforme de gestion des connaissances. Ils ont pu mettre la main sur :
- Le code source de certaines parties du produit BIG-IP.
- Des informations sur des vulnérabilités non divulguées et non corrigées.
- Des détails de configuration et d'implémentation concernant un nombre limité de clients.
Ce sont clairement des informations confidentielles et les risques sont réels, notamment vis-à-vis des potentielles vulnérabilités zero-day en fonction de leur gravité. De son côté, F5 assure qu'il n'y a aucune preuve que les attaquants aient exploité ces failles pour lancer des attaques ou que les informations volées aient été divulguées.
"Ces fichiers contenaient une partie de notre code source BIG-IP et des informations sur des vulnérabilités non divulguées sur lesquelles nous travaillions dans BIG-IP. Nous n'avons pas connaissance de vulnérabilités critiques ou de codes distants non divulgués, et nous n'avons pas connaissance d'une exploitation active de vulnérabilités F5 non divulguées.", peut-on lire.
Par ailleurs, et c'est un point important, F5 précise que l'incident n'a pas d'impact sur sa chaîne d'approvisionnement logicielle. Autrement dit, les pirates n'auraient pas opéré de modifications de code suspectes au sein du système de BIG-IP.
Les plateformes gérant les données clients (CRM, systèmes financiers, etc.) et les autres produits comme NGINX ou F5 Distributed Cloud Services ne sont pas concernés par cette violation.", précise le communiqué de F5.
Les mesures préventives appliquées par F5
Suite à la découverte de cette intrusion majeure, F5 a réagi en renforçant la sécurité de ses systèmes. La société américaine a déployé plusieurs actions : la rotation des identifiants, le renforcement de la sécurité de l'environnement de développement et l'amélioration de son architecture de sécurité réseau.
De plus, elle a fait appel à des cabinets d'audit externes tels que NCC Group et IOActive pour un examen approfondi de ses composants critiques et de ses pipelines de développement. Les premiers résultats de ces audits n'ont révélé aucune trace d'introduction de vulnérabilités par les pirates dans le code source de F5.
Au-delà de F5, ce sont aussi les clients de cette marque qui doivent réagir. Tout d'abord, des mises à jour ont été publiées pour plusieurs produits, notamment BIG-IP, F5OS et BIG-IQ, pour "remédier à l'impact potentiel des vulnérabilités non divulguées dérobées". On peut donc affirmer que F5 a corrigé en urgence et surement plus rapidement que prévu, les vulnérabilités entre les mains des pirates.
L'entreprise a également mis à disposition un guide et recommande de mettre en œuvre des bonnes pratiques, telles que :
- La mise à jour prioritaire des logiciels F5.
- L'analyse des événements BIG-IP à partir d'un SIEM.
- La non-exposition des interfaces de gestion sur le web public.
Nous avons engagé CrowdStrike, Mandiant et d'autres experts en cybersécurité de premier plan pour soutenir ce travail, et nous collaborons activement avec les services répressifs et nos partenaires gouvernementaux.", peut-on lire.
Désormais, la situation est jugée sous contrôle par F5, qui assure que ses services sont sûrs et opérationnels. S'il y a un délai important entre la détection de l'intrusion et la communication faite par F5, ce n'est pas anodin : la divulgation publique de l'incident a été retardée à la demande du gouvernement américain pour permettre la sécurisation de ses systèmes critiques.
Cette phrase « a corrigé en urgence et surement plus rapidement que prévu, les vulnérabilités entre les mains des pirates. »
ne donne pas confiance d’insaller leur maj. L’urgence et la stabilité d’un système ne vont pas de pair.