الأسبوع اللي مُصدِر الهوية نفسه سقط فيه — ثغرة زيرو داي في OAuth بتاعة F5 BIG-IP APM (CVE-2026-94127) وتركيز KEV على مستويَي الإدارة والهوية
يوم 22 سبتمبر، F5 كشفت عن ثغرة زيرو داي حرجة في مسار OAuth بتاع BIG-IP APM (CVE-2026-94127، CVSS 9.8) بتسمح بتنفيذ كود عن بُعد من غير مصادقة، وأكّدت استغلال في الواقع. CISA ضافتها لفهرس KEV في نفس اليوم بموعد نهائي فيدرالي يوم 25 سبتمبر. Arista VCO وثغرتين في سيرفر إدارة Check Point دخلوا KEV برضه اليوم ده — بنراجع تقارب الهجمات على مستويَي الإدارة والهوية في أجهزة الحدود.
المقالة دي اتترجمت بالآلة.
يوم 22 سبتمبر 2026، F5 كشفت CVE-2026-94127 (المعرّف الداخلي 2524777) في BIG-IP Access Policy Manager (APM). لما سياسة وصول APM وبروفايل OAuth يبقوا متهيّئين على سيرفر افتراضي، حركة خبيثة محدّدة ممكن توصّل لتنفيذ كود عن بُعد (RCE) — فيضان مخزن مؤقت على الكومة (CWE-122) — بدرجة CVSS v3.1 قيمتها 9.8 (زي ما F5 بلّغت) وCVSS v4.0 قيمتها 9.3 (زي ما F5 بلّغت، عن طريق NVD). الثغرة محدودة على النشرات اللي BIG-IP APM متهيّأ فيها كـ OAuth Authorization Server؛ والنشرات اللي بتستخدم APM بس كـ Client / Resource Server مش متأثرة. F5 بتقول إنها «عارفة إن الثغرة دي اتستغلت» وبتلاحظ إن العيب اتكتشف جوّا. دي مشكلة في مستوى البيانات من غير تعرّض لمستوى التحكم، وBIG-IP في وضع Appliance كمان معرّض. الإصدارات المتأثرة هي 21.1.0 (اتصلح في Hotfix-BIGIP-21.1.0.2.0.30.22-ENG)، و17.5.0-17.5.1 (اتصلح في Hotfix-BIGIP-17.5.1.9.0.160.12-ENG)، و17.1.0-17.1.3 (اتصلح في Hotfix-BIGIP 17.1.3.5.0.41.14-ENG)؛ وBIG-IP Next وF5 Distributed Cloud وNGINX وF5OS مش متأثرين (إرشاد F5 K000162605).
CISA ضافت الثغرة لفهرس KEV بتاعها يوم 22 سبتمبر، ودّت الوكالات المدنية الفيدرالية لحد 25 سبتمبر عشان ترد (BOD 26-04، ثلاثة أيام من الإدراج). وهي خاضعة للفرز الجنائي، وملاحظات KEV عند CISA بتوجّه المشغّلين يطبّقوا iRule اللي البائع موفّره كتخفيف مؤقت، وبعدين يثبّتوا التصحيح النهائي بأسرع وقت. وF5 كمان بتقدّم تخفيف بـiRule للسيرفر الافتراضي المتأثر، ومتاح عن طريق دعم F5. ولتقييم الاختراق، F5 نشرت ثلاثة مؤشرات اختراق، وإرشاد CERT-EU (2026-013) بيرتّبهم في مراجعة من أربع خطوات: إخفاقات مصادقة OAuth متكررة (invalid_token) في /var/log/apm، وزيادة مش مفسَّرة في total_failed عن طريق tmctl global_oauth_stat، وأوامر مريبة في /var/log/audit حوالين الأختام الزمنية دي، وحلقة TMM اللي بتخلي daemon SOD يبعت SIGABRT (وجود ملف نواة TMM لوحده مش مؤشر) — اجتماع العناصر دي وتكرارها هو اللي بيرتبط بهجوم (حسب The Hacker News، وفهرس KEV عند CISA، وCERT-EU).
تحليل (منفصل عن الوقائع): اللي يستاهل الانتباه هو تركيب المدخلات الأربع اللي نزلت في فهرس KEV يوم 22 سبتمبر، أكتر من الثغرة لوحدها: ثغرة F5 BIG-IP APM دي، زائد Arista VeloCloud Orchestrator (CVE-2026-93952) وثغرتين في سيرفر إدارة Check Point (CVE-2026-93616 / CVE-2026-85102). الخيط المشترك إن «مستويَي الإدارة والهوية» لوظائف الشبكة الموزَّعة هما الهدف. المرصد ده غطّى الأسبوع اللي فات تجاوز مصادقة واجهة إدارة Cisco ISE (CVE-2026-76460) ومشكلة إن سجلات الجهاز المخترق نفسه مبقتش مصدر أولي. الحالة دي بتقدّم خطوة كمان: لما APM يتستخدم كسيرفر تفويض OAuth، الجهاز نفسه بيبقى فعليًا مُصدِر الهوية، وتنفيذ كود عن بُعد من غير مصادقة على مستوى بياناته بيحمل معنى الاستيلاء على المُصدِر نفسه. وإن F5 اكتشفت العيب جوّا بيوحي بنافذة استغلال هادية في الواقع قبل الإفصاح؛ وإسناد الجهة المستغِلّة لسه مش علني.
الدلالات الدفاعية: (1) لو بتشغّل BIG-IP APM كسيرفر تفويض OAuth، طبّق الـhotfix المطابق (أو إصدار أحدث على نفس الفرع) الأول. النشرات اللي بتستخدم APM بس كسيرفر عميل / موارد برّه النطاق، لكن التهيئات الهجينة اللي فيها بروفايل سيرفر تفويض محتاجة جرد لكل سيرفر افتراضي. (2) لما تخفيف iRule يتنشر قبل التصحيح، سجّله كتخفيف — حسب ملاحظات CISA، كإجراء مؤقت يتقرن بالتصحيح النهائي. (3) شغّل كشف CERT-EU بأربع مراحل (تكرار إخفاق OAuth، وtotal_failed، وسجلات التدقيق، ونواة TMM) على الجهاز نفسه، وراجع كمان تاريخ الجدار الناري / NetFlow لحركة المرور ناحية APM، على أساس إن سجلات الجهاز نفسه ممكن متبقاش مصدر أولي. (4) بنفس العدسة، اعمل جرد لتعرّض أصول «مستوى الإدارة والهوية» — ومنها Arista VCO وسيرفرات إدارة Check Point — جنب التصحيح لكل CVE. الوقائع هنا مأخوذة من إرشاد F5 (https://my.f5.com/manage/s/article/K000162605)، وفهرس KEV عند CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)، وسجل CVE عند NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-94127)، وإرشاد CERT-EU 2026-013 (https://cert.europa.eu/publications/security-advisories/2026-013/)، وThe Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html)، وSecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/). التحليل متساب منفصل عن التغطية.