มัลแวร์บน F5 BIG-IP APM ฝังเว็บเชลล์ PHP ไว้ในหน่วยความจำ — สแกนไฟล์บนดิสก์แล้วสะอาด เพราะไฟล์ไม่ต้องถูกแก้เลย
บริษัท Sophos เผยว่ามัลแวร์ที่โยงกับการเจาะอุปกรณ์ F5 BIG-IP APM ซ่อนเว็บเชลล์ PHP ไว้ในหน่วยความจำแทนไฟล์บนดิสก์ เมื่อ Apache โหลดสคริปต์ .php3 สามตัวของอุปกรณ์ มัลแวร์จะเติมเว็บเชลล์ลงในสำเนาที่อยู่ในหน่วยความจำ การตรวจไฟล์จึงกลับมาสะอาด มัลแวร์ฝังตัวในโปรแกรม Apache เอง แล้วดักฟังก์ชัน apr_dso_load รอจนกว่าโมดูล PHP จะถูกโหลด ต้นทางเชื่อมโยงกับ CVE-2025-53521 ที่ F5 เปลี่ยนการจัดประเภทเป็น RCE เมื่อเดือนมีนาคม 2569