CVE-2026-94127：F5 BIG-IP APM 堆溢出可未认证 RCE，已入 KEV
F5 于 9 月 22 日发布 BIG-IP APM 堆溢出漏洞 CVE-2026-94127：当虚拟服务器同时配置访问策略与 OAuth 配置文件时，未认证流量即可触发远程代码执行，CVSS 9.8，厂商确认在野利用，CISA 同日列入 KEV。
F5
F5 BIG-IP APM遭PoisonedRefresh Rootkit入侵：无文件内存WebShell绕过文件检测
Sophos X-Ops披露针对F5 BIG-IP APM设备的Linux Rootkit攻击：利用CVE-2025-53521植入可跨升级持久化的恶意组件，WebShell直接注入内存，磁盘不留文件。795台设备仍暴露。
CVE-2026-78689：NGINX njs XML 模块越界写入漏洞预警，CVSS 最高 9.2
F5 披露 NGINX JavaScript（njs）XML 模块越界写入漏洞 CVE-2026-78689，未认证远程攻击者可致 worker 崩溃或内存增长，官方 nginx-saml 参考实现受影响。