السيمانة اللي فيها مصدر الهوية براسو طاح — ثغرة يوم صفر فـOAuth ديال F5 BIG-IP APM (CVE-2026-94127) وتركيز KEV على مستويات الإدارة والهوية
F5 علنات نهار 22 سبتمبر بلي ثغرة يوم صفر حرجة فمسار OAuth ديال BIG-IP APM (CVE-2026-94127, CVSS 9.8) كتخلي تنفيذ الكود عن بعد بلا توثيق، وأكدات الاستغلال فالواقع. CISA زادتها لكتالوج KEV فنفس النهار مع أجل فيدرالي نهار 25 سبتمبر. حتى Arista VCO وجوج ثغرات فسيرفرات الإدارة ديال Check Point دخلو لـKEV فنفس النهار — حنا كنشوفو تجمع الهجمات على مستويات الإدارة والهوية ديال أجهزة الحدود.
هاد المقال ترجمو بالآلة.
نهار 22 سبتمبر 2026، F5 علنات على CVE-2026-94127 (المعرف الداخلي 2524777) فـBIG-IP Access Policy Manager (APM). منين كتكون سياسة الولوج ديال APM وبروفيل OAuth مكونين على سيرفر افتراضي، حركة خبيثة محددة تقدر تودي لتنفيذ الكود عن بعد (RCE) — فيضان buffer على أساس الكومة (CWE-122) — بنقطة CVSS v3.1 ديال 9.8 (كيف ما قالت F5) ونقطة CVSS v4.0 ديال 9.3 (كيف ما قالت F5، عبر NVD). الثغرة محصورة فالنشر اللي BIG-IP APM فيه مكون كـOAuth Authorization Server؛ النشر اللي كيستعمل APM غير كـClient / Resource Server ما متأثرش. F5 كتقول بلي «واعية بلي هاد الثغرة تستغلات» وكتسجل بلي العيب تكتشف من الداخل. هادي مسألة ديال مستوى البيانات بلا تعرض لمستوى التحكم، وBIG-IP فوضع Appliance mode حتى هو متأثر. الإصدارات المتأثرة هي 21.1.0 (تصلح فـ Hotfix-BIGIP-21.1.0.2.0.30.22-ENG)، و 17.5.0-17.5.1 (تصلح فـ Hotfix-BIGIP-17.5.1.9.0.160.12-ENG)، و 17.1.0-17.1.3 (تصلح فـ Hotfix-BIGIP 17.1.3.5.0.41.14-ENG)؛ BIG-IP Next وF5 Distributed Cloud وNGINX وF5OS ما متأثرينش (إرشاد F5 K000162605).
CISA زادات الثغرة لكتالوج KEV ديالها نهار 22 سبتمبر، وعطات الوكالات المدنية الفيدرالية حتى لـ25 سبتمبر باش ترد (BOD 26-04، تلاتة أيام من الإدراج). هادي خاضعة للفرز الجنائي، وملاحظات KEV ديال CISA كتوجه المشغلين يطبقو iRule اللي عطاها البائع كتخفيف مؤقت، ومن بعد يركبو التصحيح النهائي فأقرب وقت. F5 حتى هي كتعرض تخفيف iRule للسيرفر الافتراضي المتأثر، ومتاح عبر دعم F5. لتقييم الاختراق، F5 نشرات تلاتة مؤشرات ديال الاختراق، وإرشاد CERT-EU (2026-013) كيرتبهم فمراجعة ديال ربعة مراحل: إخفاقات توثيق OAuth متكررة (invalid_token) فـ/var/log/apm، زيادة ما مفسرش فـtotal_failed عبر tmctl global_oauth_stat، أوامر مشبوهة فـ/var/log/audit حدا هاد الطوابع الزمنية، وحلقة TMM اللي كتخلي عفريت SOD يرسل SIGABRT (وجود ملف نواة TMM بوحدو ماشي مؤشر) — التركيب والتكرار ديال هادو هوما اللي كيترافقو مع هجوم (حسب The Hacker News، وكتالوج KEV ديال CISA، وCERT-EU).
التحليل (مفصول على الوقائع): اللي يستاهل الانتباه ماشي CVE بوحدو قد ما هو تركيب الربعة ديال الإدخالات اللي نزلات فكتالوج KEV نهار 22 سبتمبر: هاد الثغرة ديال F5 BIG-IP APM، زائد Arista VeloCloud Orchestrator (CVE-2026-93952) وجوج ثغرات فسيرفر الإدارة ديال Check Point (CVE-2026-93616 / CVE-2026-85102). الخيط المشترك ديالهم هو بلي «مستويات الإدارة والهوية» ديال وظائف الشبكة الموزعة هوما الهدف. السيمانة اللي فاتت هاد المرصد غطى تجاوز التوثيق فـAPI الإدارة ديال Cisco ISE (CVE-2026-76460) ومشكلة بلي سجلات الجهاز المخترق براسو ما بقاوش مصدر أولي. هاد الحالة كتقدم خطوة أخرى: فين APM مستعمل كسيرفر ترخيص OAuth، الجهاز براسو عمليا هو مصدر الهوية، وتنفيذ كود عن بعد بلا توثيق على مستوى البيانات ديالو عندو معنى القبض على المصدر براسو. كون F5 لقات العيب من الداخل كيوحي بنافذة استغلال هادئة فالواقع قبل الكشف؛ إسناد الجهة اللي كتستغل مازال ما خرجش للعموم.
الآثار الدفاعية: (1) إلا كنتي كتشغل BIG-IP APM كسيرفر ترخيص OAuth، طبق hotfix المطابق (ولا إصدار أحدث على نفس الفرع) الأول. النشر اللي كيستعمل APM غير كزبون / سيرفر موارد خارج النطاق، ولكن التكوينات الهجينة اللي فيها بروفيل سيرفر ترخيص محتاجة جرد لكل سيرفر افتراضي. (2) فين تخفيف iRule تنشر قبل التصحيح، سجلو كتخفيف — حسب ملاحظات CISA، كحل مؤقت خاصو يتزوج مع التصحيح النهائي. (3) شغل الكشف ديال ربعة مراحل ديال CERT-EU (تكرار إخفاقات OAuth، total_failed، سجلات audit، نواة TMM) على الجهاز براسو، وفنفس الوقت راجع تاريخ firewall / NetFlow ديال الحركة نحو APM، على أساس بلي سجلات الجهاز براسو يمكن ما يبقاوش مصدر أولي. (4) بنفس العدسة، جرد تعرض أصول «مستوى الإدارة والهوية» — بما فيها Arista VCO وسيرفرات الإدارة ديال Check Point — بجانب التصحيح لكل CVE. الوقائع هنا مستمدة من إرشاد F5 (https://my.f5.com/manage/s/article/K000162605)، وكتالوج KEV ديال CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)، وسجل CVE فـNVD (https://nvd.nist.gov/vuln/detail/CVE-2026-94127)، وإرشاد CERT-EU 2026-013 (https://cert.europa.eu/publications/security-advisories/2026-013/)، وThe Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html)، وSecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/). التحليل مبقي مفصول على التبليغ.