La Agencia de Ciberseguridad e Infraestructura de los Estados Unidos (CISA) ha añadido una vulnerabilidad recientemente revelada que afecta a los sistemas F5 BIG-IP a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), advirtiendo que la falla está siendo aprovechada activamente en ataques del mundo real. La vulnerabilidad, identificada como CVE-2025-53521, fue oficialmente registrada el 27 de marzo de 2026, con una fecha límite de remediación para el 30 de marzo.

La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) de EE.UU. ha añadido una vulnerabilidad recientemente descubierta que afecta a los sistemas F5 BIG-IP a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), advirtiendo que el fallo está siendo aprovechado activamente en ataques del mundo real.

La vulnerabilidad, identificada como CVE-2025-53521, fue registrada oficialmente el 27 de marzo de 2026, con un plazo de remediación hasta el 30 de marzo de 2026 para las agencias federales.

El CVE-2025-53521 se describe como una vulnerabilidad no especificada en el F5 BIG-IP Access Policy Manager (APM) que podría permitir la ejecución remota de código (RCE).

Aunque los detalles técnicos siguen siendo limitados, el potencial de explotación sin autenticación o con baja complejidad ha generado una gran preocupación en la comunidad de ciberseguridad, especialmente por el amplio despliegue de dispositivos BIG-IP en redes empresariales y gubernamentales.

Vulnerabilidad en F5 BIG-IP explotada

La inclusión de la vulnerabilidad por parte de CISA en el catálogo KEV confirma que actores maliciosos ya están explotando el fallo en la naturaleza. Aunque actualmente no hay atribución confirmada ni evidencia que vincule la vulnerabilidad con campañas de ransomware, la agencia destacó que los fallos que permiten RCE suelen ser utilizados en actividades posteriores al compromiso, como el movimiento lateral y la exfiltración de datos.

Históricamente, las vulnerabilidades en F5 BIG-IP han sido objetivos atractivos tanto para grupos con motivaciones financieras como para actores patrocinados por estados, debido a su papel en la gestión de tráfico, autenticación y entrega segura de aplicaciones. La explotación de estos sistemas puede otorgar a los atacantes un alto nivel de control sobre la infraestructura de red.

CISA ha ordenado a las agencias del Ramo Ejecutivo Civil Federal (FCEB) aplicar las mitigaciones proporcionadas por el proveedor de inmediato o suspender el uso de los sistemas afectados si no hay parches o soluciones alternativas disponibles.

La directiva se enmarca en la Directiva Operativa Vinculante (BOD) 22-01, que exige la remediación rápida de las vulnerabilidades incluidas en el catálogo KEV.

F5 ha emitido orientaciones para abordar el problema, y se recomienda encarecidamente a las organizaciones seguir los pasos oficiales de mitigación sin demora. Los equipos de seguridad también deben revisar los registros y monitorear señales de compromiso, especialmente actividades administrativas inusuales o cambios no autorizados en la configuración dentro de los entornos BIG-IP.

La rápida incorporación del CVE-2025-53521 al catálogo KEV refleja una tendencia continua de los atacantes a dirigirse contra dispositivos perimetrales y componentes de infraestructura de red.

Estos sistemas suelen estar en puntos críticos dentro de los entornos empresariales, lo que los convierte en objetivos de alto valor para el acceso inicial y la persistencia.

Dada la falta de divulgación pública detallada, los defensores deben asumir que las técnicas de explotación pueden evolucionar rápidamente. Medidas proactivas como la segmentación de red, controles de acceso estrictos y monitoreo continuo son esenciales para reducir la exposición.

Las organizaciones que utilizan productos F5 BIG-IP deben tratar esta vulnerabilidad como un riesgo de alta prioridad y actuar de inmediato para mitigar un posible compromiso.