F5 BIG-IP にスタックバッファオーバーフロー（CVE-2025-53521）― 境界機器で遠隔コード実行のおそれ・CVSS 9.8
アプリ配信・アクセス制御を担う境界機器 F5 BIG-IP（APMモジュール）に、スタックベースのバッファオーバーフロー(CWE-121)の脆弱性。攻撃者に遠隔から任意のコードを実行される可能性がある。NVDに掲載されたCVSSは9.8（CRITICAL）。CISAが2026年3月27日にKEVへ追加、是正期限3月30日＝3日後。
脆弱性の基本情報
- CVE番号CVE-2025-53521
- CVSS基本値9.8 CRITICAL
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- 対象（ベンダー／製品）F5 BIG-IP
- CWECWE-121
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-03-30（米連邦民生機関・BOD 22-01）
要点
スタックベースのバッファオーバーフローとは、プログラムが一時的な作業領域として使う「スタック」上の確保領域を超えてデータが書き込まれ、隣接する制御情報（戻り先アドレス等）が破壊される不具合だ。攻撃者がこれを精密に突くと、プログラムの実行の流れを乗っ取り、任意のコードを実行させることができる。
本件はこれが F5 BIG-IP のアクセスポリシー管理モジュール(APM)で起こりうるとされる。
重要なのは、BIG-IPが「境界機器」だという点だ。BIG-IPは、負荷分散・アプリ配信・リモートアクセス(VPN)などを担い、社外からのアクセスを最初に受けるインターネットとの境界に置かれる。本サイトで別途扱ったCitrix NetScalerと同じく、こうした境界機器は常時インターネットに晒され、乗っ取られれば内部への入口になるため、攻撃者にとって格好の標的だ。境界機器での遠隔コード実行は、被害の起点として極めて重い。
NVDに掲載されたCVSSは9.8（CRITICAL）と最高水準で、未認証・遠隔・利用者操作不要の条件がそろう。CISAが追加から3日という短い是正期限を課したことも、対応の緊急性を裏づけている。対応はF5の案内に従った速やかな更新である。
なぜ重要か
境界機器での遠隔コード実行は、内部ネットワークへの入口を明け渡すことに直結し、被害の起点として極めて重い。NVD掲載のCVSSは9.8（CRITICAL）で悪用条件がそろう。Citrix NetScalerと同様、常時インターネットに晒される境界機器は攻撃の的であり、CISAの3日期限は切迫度を示す。F5運用組織はF5の案内に沿った更新と、境界機器の公開範囲の点検を最優先とすべきである。
よくある質問（FAQ）
スタックバッファオーバーフローとは何ですか。
境界機器が狙われるとなぜ重大なのですか。
何をすべきですか。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。