Cybersecurity Database

Directiva

ED 26-01 – Vulnerabilidades de los dispositivos F5

ED 26-01: mitigar las vulnerabilidades de los dispositivos F5

En vigor desde el 15 de octubre de 2025Ficha verificada en la fuente oficial el 2 de noviembre de 2026 · Metodología

Fuente oficial: https://www.cisa.gov/news-events/directives/ed-26-01-mitigate-vulnerabilities-f5-devices

Fuente oficial
Número oficial
ED 26-01
Fecha de adopción
Entrada en vigor

Resumen

Directiva de emergencia emitida por la CISA el 15 de octubre de 2025 después de que un actor vinculado a un Estado comprometiera los sistemas de F5 y exfiltrara parte del código fuente de BIG-IP e información sobre vulnerabilidades, que podría ayudarle a encontrar vulnerabilidades de día cero y desarrollar exploits dirigidos. Se aplica a los dispositivos BIG-IP iSeries y rSeries, a los equipos F5 sin soporte y al software F5OS, TMOS, Virtual Edition, BIG-IP Next, BIG-IQ y BNK/CNF. Las agencias federales deben inventariarlos de inmediato, comprobar si las interfaces de gestión son accesibles desde Internet y, en ese caso, aplicar la BOD 23-02, actualizar el software principal antes del 22 de octubre y los demás dispositivos antes del 31 de octubre, aplicar las actualizaciones posteriores en la semana siguiente a su publicación y desconectar los dispositivos expuestos sin soporte. Los informes a la CISA debían presentarse el 29 de octubre y el 3 de diciembre de 2025.

A quién se aplica

Agencias federales, para los activos de cualquier sistema de información federal, incluidos los gestionados por terceros en su nombre. Quedan excluidos los sistemas de seguridad nacional y los del Departamento de Guerra y de la comunidad de inteligencia.

Fechas clave

  1. Actualización de F5OS, TMOS, BIG-IQ y BNK/CNF a la última versión del fabricante
  2. Resumen de los productos F5 afectados enviado a la CISA (23:59 ET)
  3. Último parche y recomendaciones de bastionado de F5 aplicados a los demás dispositivos F5
  4. Inventario detallado de todas las instancias de los productos F5 afectados enviado a la CISA
  5. Informe de la CISA sobre el estado de aplicación en las agencias

Información

Jurisdicción
Estados Unidos
Organismo emisor
Cybersecurity and Infrastructure Security Agency (CISA)
Tipo
Directiva
Idiomas disponibles
inglés
Temas
Notas
La directiva no cita vulnerabilidades por número CVE. Las agencias cuyas interfaces de gestión solo son accesibles a través de un jump box en una red de gestión pueden indicarlo en su informe y seguir su calendario habitual de actualizaciones. La página no indica una fecha de fin de la directiva ni versiones posteriores.

Detalles de la ficha

Título original
ED 26-01: Mitigate Vulnerabilities in F5 Devices
Título en otros idiomas
  • ED 26-01: mitigare le vulnerabilità dei dispositivi F5
  • ED 26-01 : atténuer les vulnérabilités des équipements F5
  • ED 26-01: Behebung von Schwachstellen in F5-Geräten
Licencia / condiciones de uso
Dominio público / acto oficial – Obra del Gobierno federal de los Estados Unidos (17 U.S.C. § 105).
Fuente de recopilación
entrada manual
Última verificación
(verificación en la web)

Cómo citar

APA

Cybersecurity and Infrastructure Security Agency (CISA). (2025). ED 26-01: Mitigate Vulnerabilities in F5 Devices (ED 26-01). https://www.cisa.gov/news-events/directives/ed-26-01-mitigate-vulnerabilities-f5-devices

Chicago

Cybersecurity and Infrastructure Security Agency (CISA). "ED 26-01: Mitigate Vulnerabilities in F5 Devices." 15 October 2025. https://www.cisa.gov/news-events/directives/ed-26-01-mitigate-vulnerabilities-f5-devices.

BibTeX

@misc{us_ed_26_01_f5_2025,
  author       = {{Cybersecurity and Infrastructure Security Agency (CISA)}},
  title        = {{ED 26-01: Mitigate Vulnerabilities in F5 Devices}},
  year         = {2025},
  note         = {ED 26-01},
  url          = {https://www.cisa.gov/news-events/directives/ed-26-01-mitigate-vulnerabilities-f5-devices},
  urldate      = {2026-11-02}
}

Metadatos y resumen: CC BY 4.0 · JSON