Die Woche, in der der Identitätsaussteller selbst fiel — F5 BIG-IP APM OAuth Zero-Day (CVE-2026-94127) und die Konzentration von KEV auf die Management- und Identitätsebenen
F5 hat am 22. September offengelegt, dass ein kritischer Zero-Day im OAuth-Pfad von BIG-IP APM (CVE-2026-94127, CVSS 9.8) unauthentifizierte Remote Code Execution erlaubt, und hat die Ausnutzung in the wild bestätigt. CISA hat ihn am selben Tag in den KEV-Katalog aufgenommen, mit einer bundesbehördlichen Frist am 25. September. Arista VCO und zwei Schwachstellen in Management-Servern von Check Point sind an diesem Tag ebenfalls in KEV aufgenommen worden — wir untersuchen die Konvergenz von Angriffen auf die Management- und Identitätsebenen von Boundary-Appliances.
Dieser Artikel wurde maschinell übersetzt.
Am 22. September 2026 hat F5 CVE-2026-94127 (interne ID 2524777) in BIG-IP Access Policy Manager (APM) offengelegt. Wenn eine APM-Access-Policy und ein OAuth-Profil auf einem Virtual Server konfiguriert sind, kann bestimmter bösartiger Verkehr zu Remote Code Execution (RCE) führen — einem heap-basierten Buffer Overflow (CWE-122) — mit einem CVSS v3.1-Score von 9.8 (wie von F5 angegeben) und einem CVSS v4.0 von 9.3 (wie von F5 angegeben, über NVD). Die Schwachstelle ist auf Bereitstellungen beschränkt, in denen BIG-IP APM als OAuth Authorization Server konfiguriert ist; Bereitstellungen, die APM ausschließlich als Client / Resource Server nutzen, sind nicht betroffen. F5 gibt an, es sei 'aware that this vulnerability has been exploited', und merkt an, dass der Fehler intern entdeckt wurde. Es handelt sich um ein Problem der Data Plane ohne Exposition der Control Plane, und BIG-IP im Appliance mode ist ebenfalls verwundbar. Die betroffenen Releases sind 21.1.0 (behoben in Hotfix-BIGIP-21.1.0.2.0.30.22-ENG), 17.5.0-17.5.1 (behoben in Hotfix-BIGIP-17.5.1.9.0.160.12-ENG) und 17.1.0-17.1.3 (behoben in Hotfix-BIGIP 17.1.3.5.0.41.14-ENG); BIG-IP Next, F5 Distributed Cloud, NGINX und F5OS sind nicht betroffen (F5-Advisory K000162605).
CISA hat die Schwachstelle am 22. September in seinen KEV-Katalog aufgenommen und den zivilen Bundesbehörden bis zum 25. September Zeit zur Reaktion gegeben (BOD 26-04, drei Tage ab der Aufnahme). Sie unterliegt der forensischen Triage, und die KEV-Hinweise von CISA weisen Betreiber an, die vom Hersteller bereitgestellte iRule als vorübergehende Mitigation anzuwenden und danach den endgültigen Patch so bald wie möglich zu installieren. F5 bietet ebenfalls eine iRule-Mitigation für den betroffenen Virtual Server an, verfügbar über den F5-Support. Für die Bewertung einer Kompromittierung hat F5 drei Indicators of Compromise veröffentlicht, die das Advisory von CERT-EU (2026-013) in eine Prüfung in vier Schritten gliedert: wiederholte Fehler der OAuth-Authentifizierung (invalid_token) in /var/log/apm, ein unerklärter Anstieg von total_failed über tmctl global_oauth_stat, verdächtige Befehle in /var/log/audit um diese Zeitstempel herum und die TMM-Schleife, die den SOD-Daemon ein SIGABRT senden lässt (das bloße Vorhandensein einer TMM-Core-Datei ist kein Indikator) — es sind die Kombination und die Häufigkeit dieser Punkte, die mit einem Angriff korrelieren (laut The Hacker News, dem KEV-Katalog von CISA und CERT-EU).
Analyse (von den Fakten getrennt): Aufmerksamkeit verdient weniger die einzelne CVE als die Zusammensetzung der vier Einträge, die am 22. September im KEV-Katalog gelandet sind: diese Schwachstelle in F5 BIG-IP APM, dazu Arista VeloCloud Orchestrator (CVE-2026-93952) und zwei Schwachstellen in Management-Servern von Check Point (CVE-2026-93616 / CVE-2026-85102). Ihr gemeinsamer Faden ist, dass die 'Management- und Identitätsebenen' verteilter Netzwerkfunktionen die Ziele sind. In der vergangenen Woche hat dieses Observatorium den Auth-Bypass der Management-API von Cisco ISE (CVE-2026-76460) behandelt und das Problem, dass die eigenen Logs einer kompromittierten Appliance keine primäre Quelle mehr sind. Dieser Fall geht einen Schritt weiter: Wo APM als OAuth-Authorization-Server verwendet wird, ist die Appliance selbst faktisch der Identitätsaussteller, und eine unauthentifizierte RCE auf ihrer Data Plane trägt die Konnotation, den Aussteller selbst zu erfassen. Die Tatsache, dass F5 den Fehler intern entdeckt hat, legt ein stilles Ausnutzungsfenster in the wild vor der Offenlegung nahe; die Zuschreibung der ausnutzenden Seite ist noch nicht öffentlich.
Abwehrseitige Folgerungen: (1) Wenn Sie BIG-IP APM als OAuth-Authorization-Server betreiben, wenden Sie zuerst den passenden Hotfix an (oder ein späteres Release auf demselben Branch). Bereitstellungen, die APM ausschließlich als Client / Resource Server nutzen, liegen außerhalb des Umfangs, aber hybride Konfigurationen, die ein Authorization-Server-Profil enthalten, brauchen ein Inventar je Virtual Server. (2) Wo die iRule-Mitigation vor dem Patchen eingesetzt wird, zeichnen Sie sie als Mitigation auf — gemäß den Hinweisen von CISA als Überbrückung, die mit dem endgültigen Patch zu paaren ist. (3) Führen Sie die Erkennung von CERT-EU in vier Stufen (Wiederholung von OAuth-Fehlern, total_failed, Audit-Logs, TMM-Core) auf der Appliance selbst aus und prüfen Sie zugleich die Historie von Firewall und NetFlow auf Verkehr zu APM, unter der Prämisse, dass die eigenen Logs der Appliance möglicherweise keine primäre Quelle mehr sind. (4) Mit demselben Blick inventarisieren Sie die Exposition von Assets der 'Management- und Identitätsebene' — Arista VCO und Management-Server von Check Point eingeschlossen — neben dem Patchen je CVE. Die Fakten hier stützen sich auf das Advisory von F5 (https://my.f5.com/manage/s/article/K000162605), den KEV-Katalog von CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), den CVE-Eintrag des NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-94127), das Advisory 2026-013 von CERT-EU (https://cert.europa.eu/publications/security-advisories/2026-013/), The Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html) und SecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/). Die Analyse wird von der Berichterstattung getrennt gehalten.