F5 BIG‑IP 與 Linux 核心漏洞被串聯利用：企業網路入侵的新型攻擊鏈

一旦取得程式碼執行能力，攻擊者通常會：

• 植入 Web shell
• 建立持久化的 shell 連線
• 在設備上部署後門

此時，邊界設備就成為攻擊者進一步入侵內部網路的跳板。

第二步：利用 Linux 核心漏洞取得 root 權限

即使成功入侵設備，攻擊者最初往往只取得低權限帳號或受限制環境。為了完全控制系統，他們會利用 Linux 核心的本地提權漏洞（Local Privilege Escalation, LPE）。

Copy Fail（CVE‑2026‑31431）

「Copy Fail」是在 2026 年 4 月公開的 Linux 核心漏洞，影響自 2017 年以來的大多數 Linux 核心版本。漏洞存在於 algif_aead 模組，也就是 Linux 使用者空間加密 API（AF_ALG）的實作中。

該漏洞允許未授權的本地程序透過特定操作破壞 page cache 記憶體，進而取得 root 權限。

值得注意的是：

• Copy Fail 無法單獨遠端利用。
• 攻擊者必須先取得系統存取權（例如透過 RCE 或 shell）。

因此它常被用在攻擊鏈的「第二階段」。

Dirty Frag（CVE‑2026‑43284）

「Dirty Frag」是一組 Linux 核心漏洞，影響網路相關模組，例如 IPsec ESP 的 esp4 和 esp6。

漏洞允許本地使用者透過核心網路處理路徑操控 page cache，最終提升為 root 權限。

與 Copy Fail 一樣，Dirty Frag 也屬於：

• 後滲透漏洞（post‑exploitation）
• 需要先取得主機上的程式執行權限才能利用。

第三步：從邊界設備橫向移動到企業內部系統

一旦在邊界設備上取得 root 權限，攻擊者就能存取大量敏感資訊，例如：

• 帳號憑證
• 身分驗證 Token
• TLS 憑證
• 系統設定與密鑰

研究人員觀察到某些攻擊案例中，攻擊者從被入侵的 F5 設備橫向移動到企業內部的 Confluence 伺服器，進一步竊取帳號憑證與身分資料。

原因在於邊界設備在企業架構中通常擁有高度信任，例如：

• 可存取內部管理網路
• 可與身份驗證系統通訊
• 儲存登入 session 或憑證

Microsoft 研究指出，攻擊者越來越常把網路邊界設備當作入侵起點，因為它們既對外開放，又在企業內部擁有高度信任。

為什麼這種攻擊鏈特別有效

這類多階段攻擊成功的原因，在於不同漏洞互相放大影響：

• 邊界設備 RCE：提供初始入侵點
• Linux 提權漏洞：將低權限升級為 root
• 企業內部信任關係：讓攻擊者能橫向移動

結果就是：一個原本看似有限的入侵點，可能迅速演變成整個企業網路的全面破口。

企業應優先採取的防禦措施

1. 立即修補 F5 BIG‑IP

所有使用 BIG‑IP APM 的組織應立即套用修補程式，以修復 CVE‑2025‑53521，尤其是對外公開的設備。

由於已出現實際攻擊案例，多個資安機構建議將此更新列為最高優先級。

2. 更新 Linux 核心

套用修補程式以修復：

• CVE‑2026‑31431（Copy Fail）
• CVE‑2026‑43284 與相關 Dirty Frag 漏洞

這些漏洞影響多數主流 Linux 發行版及自 2017 年以來的核心版本。

3. 限制邊界設備的 Shell 存取

由於 Copy Fail 與 Dirty Frag 都需要本地程式執行，限制或關閉 shell 存取可以顯著降低被利用的機會。

管理帳號應受到嚴格控制並持續監控。

4. 在無法立即修補時停用高風險核心模組

如果暫時無法更新系統，可以考慮暫時停用 Dirty Frag 相關模組，例如：

• esp4
• esp6

但必須先評估是否會影響 IPsec 或其他網路功能。

5. 強化容器與共享核心環境

Linux 核心提權漏洞可能導致容器逃逸，因此建議：

• 避免使用 privileged containers
• 限制核心模組
• 隔離不受信任的工作負載

這能降低單一容器被入侵後造成的影響範圍。

6. 監控提權與橫向移動跡象

資安監控應特別留意以下行為：

• 邊界設備出現異常 shell
• 核心模組異常載入
• 帳號權限突然提升為 root
• 基礎設施設備出現異常對外連線
• 從邊界設備存取內部系統（如 Confluence 或身份系統）

證據與限制

現有資安研究確實支持一個整體趨勢：攻擊者利用邊界設備漏洞取得入口，接著在 Linux 系統提權並橫向移動到企業內部服務。

不過，目前公開證據仍不足以證明某個攻擊行動在多個受害者環境中固定使用 CVE‑2025‑53521 + Copy Fail + Dirty Frag 的完全相同組合。不同攻擊者的技術流程可能有所差異。

更大的資安啟示

過去，企業常把邊界設備視為「安全設備」。但實際上，它們正逐漸成為最具價值的入侵入口之一。

當這些設備底層運行的是 Linux 系統時，任何 Linux 核心漏洞都可能成為攻擊鏈的一部分。因此，企業需要對邊界設備採取與核心伺服器同等級的：

• 即時修補
• 嚴格存取控制
• 完整監控與偵測

否則，一個暴露在網路上的設備，可能就足以打開整個企業網路的大門。