F5 BIG‑IP APM‑Malware injiziert In‑Memory‑PHP‑Webshell und umgeht Festplatten‑Scans

Sophos‑Analyse zeigt, dass mit jüngsten Einbrüchen bei F5 BIG‑IP Access Policy Manager (APM)‑Appliances verbundene Malware einen PHP‑Webshell direkt in den Speicher injiziert, sodass die Shell ohne jemals auf die Festplatte geschrieben zu werden operieren kann und damit konventionelle Festplatten‑basierte Scans vereitelt.

Wie die In‑Memory‑Injektion funktioniert

The Hacker News berichtete, dass „mit Einbrüchen bei F5 BIG‑IP Access Policy Manager‑Appliances verbundene Malware einen PHP‑Webshell im Speicher versteckt, anstatt in einer Datei auf der Festplatte, wie Sophos in einer am 7. September veröffentlichten Analyse angab.“ Der Bericht fügt hinzu, dass die Malware nur aktiv wird, wenn Apache eines der drei nativen PHP‑Skripte lädt – apm_css.php3, full_wt.php3 und webtop_popup_css.php3 – die Teil des BIG‑IP APM‑Webtops sind.

Wenn Apache eines dieser Skripte lädt, sagt Sophos, dass die Malware die Apache Portable Runtime‑Funktion apr_dso_load hookt. Sie liest anschließend /proc/self/maps, um das geladene PHP‑Modul im Speicher zu lokalisieren, macht die betreffenden Speicherseiten kurzzeitig schreibbar, überschreibt die Aufrufe, die das Modul zum Öffnen, Größenbestimmen und Mappen von Dateien verwendet, und stellt die ursprünglichen Berechtigungen wieder her. Ab diesem Punkt kontrolliert die Malware, was PHP sieht, wenn es das Skript öffnet. „Wenn die Datei in den Speicher gemappt wird, platziert die Malware den Webshell vor dem ursprünglichen Inhalt“, erklärt die Quelle.

Da der Webshell nur in der In‑Memory‑Kopie existiert, erkennt ein traditioneller Dateisystem‑Scan ein sauberes Skript. „Wenn Apache eines der drei eigenen PHP‑Skripte der Appliances lädt, fügt die Malware den Webshell zur im Speicher gehaltenen Kopie hinzu, sodass eine Prüfung der Datei auf der Festplatte sauber zurückkommt“, stellt der Artikel fest. Der Shell muss nicht in seiner endgültigen Form auf der Festplatte existieren, was bedeutet, dass Endgeräteschutz, der auf dateibasierte Signaturen setzt, gegenüber dieser Technik blind ist.

Zeitplan der Schwachstelle und öffentlichen Offenlegungen

Der zugrunde liegende Fehler, CVE‑2025‑53521, wurde erstmals von F5 am 15. Oktober 2025 als Denial‑of‑Service‑Problem veröffentlicht. F5 klassifizierte die Schwachstelle am 27. März 2026 neu als Remote‑Code‑Execution und bestätigte, dass sie ausgenutzt wird. Sophos veröffentlichte seine detaillierte Analyse am 7. September 2026, in der die In‑Memory‑Injektionsmethode beschrieben wird. The Hacker News wiederholte die Ergebnisse am 9. September 2026, und die US‑Cybersecurity and Infrastructure Security Agency (CISA) fügte CVE‑2025‑53521 am 14. September 2026 ihrem Katalog bekannter ausgenutzter Schwachstellen hinzu, was Organisationen veranlasste, ihre Erkennungsstrategien zu überdenken.

Auswirkungen für Betreiber und Sicherheitsteams

Kunden, die verwundbare BIG‑IP APM‑Geräte betreiben, müssen verstehen, dass herkömmliche festplattenbasierte Anti‑Malware‑Tools die Präsenz des Webshells möglicherweise nicht mehr erkennen. Die Erkennung erfordert nun Speicher‑Analysetools oder Verhaltens‑Monitoring, das unerwartete Änderungen an Apaches Laufzeitumgebung kennzeichnet. Die Tatsache, dass die Malware erst nach dem Laden des PHP‑Moduls aktiv wird, bedeutet, dass Systeme, die die betroffenen Skripte nicht hosten – beispielsweise solche, bei denen das APM‑Webtop deaktiviert wurde – weniger wahrscheinlich betroffen sind.

F5s eigene Anleitung im März 2026 warnte, dass Änderungen an den drei Skripten allein keinen Verstoß beweisen, doch die neue In‑Memory‑Technik zeigt, dass Angreifer ihre Aktivitäten selbst dann verbergen können, wenn die Skripte unverändert erscheinen. Organisationen sollten daher prüfen, ob sie alle von F5 für CVE‑2025‑53521 veröffentlichten Patches angewendet haben, und den Einsatz von hostbasierten Intrusion‑Detection‑Systemen in Betracht ziehen, die die apr_dso_load-Funktion oder das Speicher‑Mapping‑Verhalten von Apache überwachen.

F5 Networks auf einen Blick

F5, Inc. (Ticker FFIV) ist ein in Seattle ansässiges Technologieunternehmen, das Lösungen für Application Delivery und Sicherheit entwickelt. Das zuletzt am 6. August 2026 eingereichte Form 10‑Q deckt den Geschäftszweck vom 1. Oktober 2025 bis zum 30. Juni 2026 ab. In diesem Zeitraum meldete das Unternehmen einen Umsatz von $2,499,242,000, einen Nettogewinn von $536,017,000, Gesamtvermögen von $6,829,074,000 und 56,826,000 ausstehende Aktien. Diese Zahlen geben Kontext zur Größe der Organisation, deren Produkte nun im Fokus eines ausgeklügelten reinen Speicherangriffs stehen.

F5 Inc. Schlüsselkennzahlen für den neunmonatigen Zeitraum bis zum 30. Juni 2026 (Form 10‑Q)

Kennzahl	Wert	Periodenende	Einheit
Revenue	2,499,242,000	2026‑06‑30	USD
Net income	536,017,000	2026‑06‑30	USD
Total assets	6,829,074,000	2026‑06‑30	USD
Shares outstanding	56,826,000	2026‑06‑30	shares

Quelle: SEC‑Einreichung (Form 10‑Q) für das Geschäftsjahr 2026, eingereicht am 6. August 2026.

Was bleibt unbekannt

Die von Sophos untersuchte Probe war ein einzelnes Exemplar, sodass die Verbreitung der In‑Memory‑Injektion im breiteren Bedrohungsumfeld noch nicht quantifiziert ist. Weder Sophos noch The Hacker News gaben an, ob der Webshell mit einem Command‑and‑Control‑Server kommuniziert, noch lieferten sie Details zu den Fähigkeiten der Nutzlast über die reine Befehlsausführung hinaus. F5 hat den genauen Mechanismus nicht öffentlich bestätigt, und der CEO sowie die Mitarbeiterzahl des Unternehmens waren im Paket nicht verfügbar, sodass diese Details noch aus den eigenen Offenlegungen des Unternehmens verifiziert werden müssen.

Sicherheitsteams sollten Updates von F5 und Sophos beobachten, alle Patches für CVE‑2025‑53521 anwenden und in Erwägung ziehen, ihre Erkennungs‑Stack mit Speicher‑Inspektionstools zu erweitern, um sich gegen diese neuartige Umgehungstechnik zu schützen.