الأسبوع الذي سقط فيه مُصدِر الهوية نفسه — ثغرة اليوم الصفري في OAuth لـ F5 BIG-IP APM (CVE-2026-94127) وتركّز KEV على مستويَي الإدارة والهوية
أفصحت F5 في 22 سبتمبر عن ثغرة يوم صفري حرجة في مسار OAuth الخاص بـ BIG-IP APM (CVE-2026-94127، CVSS 9.8) تسمح بتنفيذ رمز عن بُعد من دون مصادقة، وأكّدت استغلالًا في البرية. أضافتها CISA إلى فهرس KEV في اليوم نفسه بموعد نهائي فيدرالي في 25 سبتمبر. دخلت أيضًا Arista VCO وثغرتان في خادم إدارة Check Point إلى KEV في ذلك اليوم — ندرس تقارب الهجمات على مستويَي الإدارة والهوية لأجهزة الحدود.
تُرجمت هذه المقالة آليًا.
في 22 سبتمبر 2026، أفصحت F5 عن CVE-2026-94127 (المعرّف الداخلي 2524777) في BIG-IP Access Policy Manager (APM). عندما تُهيأ سياسة وصول APM وملف تعريف OAuth على خادم افتراضي، يمكن لحركة خبيثة محدّدة أن تؤدي إلى تنفيذ رمز عن بُعد (RCE) — فيضان مخزن مؤقت قائم على الكومة (CWE-122) — بدرجة CVSS v3.1 قدرها 9.8 (حسب ما أبلغت به F5) وCVSS v4.0 قدرها 9.3 (حسب ما أبلغت به F5، عبر NVD). تقتصر الثغرة على عمليات النشر التي يُهيأ فيها BIG-IP APM بوصفه OAuth Authorization Server؛ أما عمليات النشر التي تستخدم APM حصرًا بوصفه Client / Resource Server فليست متأثرة. تصرّح F5 بأنها «على علم بأن هذه الثغرة قد استُغلّت» وتلاحظ أن العيب اكتُشف داخليًا. إنها مسألة في مستوى البيانات من دون تعرّض لمستوى التحكم، وBIG-IP في وضع Appliance معرّض أيضًا. الإصدارات المتأثرة هي 21.1.0 (أُصلح في Hotfix-BIGIP-21.1.0.2.0.30.22-ENG)، و17.5.0-17.5.1 (أُصلح في Hotfix-BIGIP-17.5.1.9.0.160.12-ENG)، و17.1.0-17.1.3 (أُصلح في Hotfix-BIGIP 17.1.3.5.0.41.14-ENG)؛ أما BIG-IP Next وF5 Distributed Cloud وNGINX وF5OS فليست متأثرة (إرشاد F5 K000162605).
أضافت CISA الثغرة إلى فهرس KEV الخاص بها في 22 سبتمبر، ومنحت الوكالات المدنية الفيدرالية حتى 25 سبتمبر للاستجابة (BOD 26-04، ثلاثة أيام من الإدراج). وهي خاضعة للفرز الجنائي، وتوجّه ملاحظات KEV لدى CISA المشغّلين إلى تطبيق iRule الذي يوفّره البائع بوصفه تخفيفًا مؤقتًا، ثم تثبيت التصحيح النهائي في أقرب وقت ممكن. وتقدّم F5 كذلك تخفيفًا بـiRule للخادم الافتراضي المتأثر، متاحًا عبر دعم F5. ولتقييم الاختراق، نشرت F5 ثلاثة مؤشرات اختراق، ينظّمها إرشاد CERT-EU (2026-013) في مراجعة من أربع خطوات: إخفاقات مصادقة OAuth متكررة (invalid_token) في /var/log/apm، وزيادة غير مفسَّرة في total_failed عبر tmctl global_oauth_stat، وأوامر مريبة في /var/log/audit حول تلك الأختام الزمنية، وحلقة TMM التي تجعل daemon SOD يرسل SIGABRT (وجود ملف نواة TMM وحده ليس مؤشرًا) — إن اجتماع هذه العناصر وتكرارها هو ما يرتبط بهجوم (حسب The Hacker News، وفهرس KEV لدى CISA، وCERT-EU).
تحليل (منفصل عن الوقائع): ما يستحق الانتباه هو تركيب المدخلات الأربع التي حلّت في فهرس KEV في 22 سبتمبر أكثر من الثغرة المنفردة: ثغرة F5 BIG-IP APM هذه، بالإضافة إلى Arista VeloCloud Orchestrator (CVE-2026-93952) وثغرتَي خادم إدارة Check Point (CVE-2026-93616 / CVE-2026-85102). خيطها المشترك هو أن «مستويَي الإدارة والهوية» لوظائف الشبكة الموزَّعة هما المستهدفان. غطّى هذا المرصد الأسبوع الماضي تجاوز مصادقة واجهة إدارة Cisco ISE (CVE-2026-76460) ومشكلة أن سجلات الجهاز المخترَق نفسه لم تعد مصدرًا أوليًا. تتقدّم هذه الحالة خطوة إضافية: حيث يُستخدم APM بوصفه خادم تفويض OAuth، يكون الجهاز نفسه فعليًا مُصدِر الهوية، ويحمل تنفيذ رمز عن بُعد من دون مصادقة على مستوى بياناته دلالة الاستيلاء على المُصدِر نفسه. ويوحي اكتشاف F5 للعيب داخليًا بنافذة استغلال هادئة في البرية قبل الإفصاح؛ وإسناد الجهة المستغِلّة ليس علنيًا بعد.
الدلالات الدفاعية: (1) إذا كنت تشغّل BIG-IP APM بوصفه خادم تفويض OAuth، فطبّق الـhotfix المطابق (أو إصدارًا لاحقًا على الفرع نفسه) أولًا. عمليات النشر التي تستخدم APM حصرًا بوصفه خادم عميل / موارد خارج النطاق، لكن التهيئات الهجينة التي تتضمن ملف تعريف خادم تفويض تحتاج إلى جرد لكل خادم افتراضي. (2) حيث يُنشر تخفيف iRule قبل التصحيح، سجّله بوصفه تخفيفًا — حسب ملاحظات CISA، بوصفه إجراءً مؤقتًا يُقرن بالتصحيح النهائي. (3) شغّل كشف CERT-EU ذا المراحل الأربع (تكرار إخفاق OAuth، وtotal_failed، وسجلات التدقيق، ونواة TMM) على الجهاز نفسه، مع مراجعة تاريخ الجدار الناري / NetFlow لحركة المرور نحو APM، على أساس أن سجلات الجهاز نفسه قد لا تعود مصدرًا أوليًا. (4) بالعدسة نفسها، اجرِ جردًا لتعرّض أصول «مستوى الإدارة والهوية» — بما فيها Arista VCO وخوادم إدارة Check Point — إلى جانب التصحيح لكل CVE. تستند الوقائع هنا إلى إرشاد F5 (https://my.f5.com/manage/s/article/K000162605)، وفهرس KEV لدى CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)، وسجل CVE لدى NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-94127)، وإرشاد CERT-EU 2026-013 (https://cert.europa.eu/publications/security-advisories/2026-013/)، وThe Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html)، وSecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/). يُبقى التحليل منفصلًا عن التغطية.