GovCERT 發 F5 高危警報；多項產品適用範圍仍待調查

情報摘要

GovCERT.HK 於 10 月 28 日發出 F5 多個漏洞的高危警報 A26-10-57，並引述報告指 Brotli CVE-2026-111497 正遭利用。公告多項產品仍標示為調查中，不能視作所有 F5 產品或版本均已確認受影響。

GovCERT 同時連結 CVE-2026-14662、CVE-2026-111497 及 CVE-2026-115560，集合影響包括遠端執行程式碼、拒絕服務、資料外洩或篡改，不能將每種影響套用至每個產品。

CVE-2026-111497 已在本站既有 PHP Windows／Brotli 記錄涵蓋；本篇補充 F5 產品警報，並非另一個新 Brotli 漏洞或已證實 F5 入侵事件。

受影響產品

GovCERT 明列 BIG-IQ Centralized Management 8.4.2；BIG-IP、BIG-IP Next CNF／Kubernetes、其他 BIG-IQ 範圍、F5 AI Gateway、F5 Insight、F5OS／F5OS-A／F5OS-C 及 NGINX 的相關項目仍標示為調查中。

適用讀者

管理 F5 網絡、應用交付及相關服務的 IT 與資安團隊

建議行動

盤點 F5 產品及版本，從 GovCERT 所連結的 K000163878、K000163902、K000164013 公告核對各產品適用修補與緩解，立即按供應商指示處理；調查中項目須持續核對更新，必要時向 F5 查詢。不要把 PHP 或 Brotli 上游版本直接當作 F5 修補版本。

風險評級依據

採用 GovCERT.HK 對 A26-10-57 集合公告的高危評級；並非三個漏洞各自的 CVSS 分數，亦不代表所有列出的產品都已確認受影響。

解讀限制

本次未能讀取三篇 F5 公告正文，故未核實完整版本矩陣、各漏洞與產品的對應及修補編號；不要把調查中理解為已確認受影響或已排除風險。

GovCERT 引述的利用報告沒有在此警報證實 F5 專屬攻擊途徑、受害數量或香港個案；警報日期不等於首次攻擊日期。

資料來源

• GovCERT.HK：高危保安警報 A26-10-57 — F5 產品多個漏洞 ↗來源刊登：2026-10-28
• GovCERT.HK：High Threat Security Alert A26-10-57 ↗來源刊登：2026-10-28