はじめに
米国のサイバーセキュリティ企業F5は、国家支援型ハッカーが同社のシステムに侵入し、未公開のBIG-IPセキュリティ脆弱性およびソースコードを盗み出したことを明らかにしました。この侵害は、同社の主力製品であるBIG-IPのセキュリティに重大な懸念を投げかけています。
侵害の詳細
F5は、2025年8月9日にこの侵害を初めて認識し、その後の調査で攻撃者が同社のシステム、特にBIG-IP製品開発環境およびエンジニアリング知識管理プラットフォームに長期間アクセスしていたことが判明しました。
F5は、サイバーセキュリティ、クラウド管理、アプリケーションデリバリーネットワーキング（ADN）アプリケーションを専門とするFortune 500企業です。世界170カ国に23,000の顧客を抱え、Fortune 50企業の48社が同社の製品を使用しています。BIG-IPは、多くの大企業でアプリケーションデリバリーとトラフィック管理に使用されている同社の主力製品です。
サプライチェーンへの影響なし
ハッカーがどのくらいの期間アクセスを維持していたかは不明ですが、同社はソースコード、脆弱性データ、および限られた数の顧客に関する一部の設定および実装の詳細が盗まれたことを確認しました。しかし、F5は以下の点を強調しています：
- 攻撃者がこの情報を実際の攻撃に利用した証拠はない。
- 盗まれた個人情報が公開された証拠はない。
- 脅威アクターによるBIG-IP環境へのアクセスが、同社のソフトウェアサプライチェーンを侵害したり、疑わしいコード変更をもたらしたりした証拠はない。
- NGINX、F5 Distributed Cloud Services、Silverlineシステムなど、他の製品やプラットフォームは侵害されていない。
F5の対応策
侵入発覚後、F5はシステムへのアクセスを強化し、全体的な脅威監視、検出、対応能力を向上させるための是正措置を講じました。具体的な対策は以下の通りです：
- システム全体の認証情報をローテーションし、アクセス制御を強化。
- 改善されたインベントリおよびパッチ管理の自動化を展開し、脅威をより適切に監視、検出、対応するための追加ツールを導入。
- ネットワークセキュリティアーキテクチャの強化。
- すべてのソフトウェア開発プラットフォームのセキュリティ制御と監視を強化し、製品開発環境を堅牢化。
さらに、同社はNCC GroupおよびIOActiveの支援を受けて、ソースコードレビューとセキュリティ評価を通じて製品のセキュリティにも注力しています。これまでの結果では、脅威アクターがF5の重要なソフトウェアソースコードやソフトウェア開発ビルドパイプラインに脆弱性を導入した証拠は見つかっていません。
顧客への推奨事項
F5は、設定または実装の詳細が盗まれた顧客を現在確認中であり、該当する顧客にはガイダンスを提供するために連絡を取る予定です。顧客が侵害によるリスクからF5環境を保護できるよう、同社は以下の製品のアップデートをリリースしました：
- BIG-IP
- F5OS
- BIG-IP Next for Kubernetes
- BIG-IQ
- APMクライアント
「未公開の重大な脆弱性やリモートコード実行の脆弱性の証拠はない」としながらも、同社は顧客に対し、新しいBIG-IPソフトウェアアップデートのインストールを優先するよう強く推奨しています。
また、F5サポートは、顧客が環境内の検出と監視を改善するための脅威ハンティングガイドを提供しています。F5システムの強化に関する新しいベストプラクティスには、F5 iHealth診断ツールへの自動チェックが含まれており、セキュリティリスクや脆弱性を特定し、アクションの優先順位付けと修復ガイダンスを提供できるようになりました。さらに、BIG-IPイベントストリーミングをSIEMに有効にし、システムをリモートsyslogサーバーにログを記録するように設定し、ログイン試行を監視することも推奨されています。
英国の国家サイバーセキュリティセンター（NCSC）と米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）からも、F5顧客への追加ガイダンスが提供されています。両機関は、すべてのF5製品（ハードウェア、ソフトウェア、仮想化）を特定し、管理インターフェースが公開ウェブに露出していないことを確認するよう推奨しています。露出したインターフェースが発見された場合は、侵害評価を行うべきです。
情報公開の遅延と事業への影響
F5は、米国政府の要請により、インシデントの公開を遅らせました。これは、重要なシステムを保護するための十分な時間を確保するためと推測されます。2025年9月12日、米国司法省はForm 8-Kの項目1.05(c)に基づき、情報公開の遅延が正当であると判断しました。
F5は、このインシデントが同社の事業運営に重大な影響を与えていないと述べています。すべてのサービスは引き続き利用可能であり、最新の入手可能な証拠に基づき安全であると見なされています。