Multiple vulnerabilities found in F5 products

CERT-FR Security Advisories

Published March 25th, 2026

Detected March 25th, 2026

Summary

CERT-FR has issued an advisory regarding multiple vulnerabilities discovered in F5 products, including Nginx Open Source and NGINX Plus. These vulnerabilities could allow for remote arbitrary code execution, denial of service, and data breaches.

View original document View source feed page

What changed

CERT-FR, the French national cybersecurity agency, has published an advisory (CERTFR-2026-AVI-0352) detailing multiple critical vulnerabilities affecting F5 products, specifically Nginx Open Source and NGINX Plus. The identified vulnerabilities, including CVE-2026-27651, CVE-2026-27654, CVE-2026-27784, CVE-2026-28753, CVE-2026-28755, CVE-2026-32647, and others, can lead to remote arbitrary code execution, denial of service, data integrity and confidentiality breaches, and security policy bypass.

Organizations utilizing the affected versions of Nginx Open Source (prior to 1.28.3 and 1.29.7) and NGINX Plus (prior to R32 P5, R35 P2, and R36 P3) are strongly advised to consult the F5 and Nginx security bulletins referenced in the advisory. Prompt application of vendor-provided patches is crucial to mitigate these risks and prevent potential exploitation. Failure to patch could result in significant security incidents, including unauthorized access and system disruption.

What to do next

Review F5 and Nginx security bulletins for affected product versions.
Apply vendor-provided patches to mitigate identified vulnerabilities.
Assess potential impact of vulnerabilities on data integrity, confidentiality, and service availability.

Source document (simplified)

Premier Ministre S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 25 mars 2026 N° CERTFR-2026-AVI-0352 Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits F5

Gestion du document

| Référence | CERTFR-2026-AVI-0352 |
| Titre | Multiples vulnérabilités dans les produits F5 |
| Date de la première version | 25 mars 2026 |
| Date de la dernière version | 25 mars 2026 |
| Source(s) | Bulletin de sécurité F5 K000160336 du 24 mars 2026
Bulletin de sécurité Nginx K000160364 du 25 mars 2026
Bulletin de sécurité Nginx K000160366 du 25 mars 2026
Bulletin de sécurité Nginx K000160367 du 25 mars 2026
Bulletin de sécurité Nginx K000160368 du 25 mars 2026
Bulletin de sécurité Nginx K000160382 du 25 mars 2026
Bulletin de sécurité Nginx K000160383 du 25 mars 2026 |
Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Exécution de code arbitraire à distance

Systèmes affectés

Nginx Open Source versions 1.28.x antérieures à 1.28.3
Nginx Open Source versions 1.29.x antérieures à 1.29.7
NGINX Plus versions R32 Px antérieures à R32 P5
NGINX Plus versions R35 Px antérieures à R35 P2
NGINX Plus versions R36 Px antérieures à R36 P3

Résumé

De multiples vulnérabilités ont été découvertes dans les produits F5. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.