La semana en que cayó el propio emisor de identidad — día cero de OAuth en F5 BIG-IP APM (CVE-2026-94127) y la concentración de KEV en los planos de gestión e identidad
F5 reveló el 22 de septiembre que un día cero crítico en la ruta OAuth de BIG-IP APM (CVE-2026-94127, CVSS 9.8) permite la ejecución remota de código sin autenticación, y confirmó la explotación en el mundo real. CISA lo añadió al catálogo KEV el mismo día, con un plazo federal del 25 de septiembre. Ese día también entraron en KEV Arista VCO y dos fallos de servidores de gestión de Check Point; examinamos la convergencia de ataques contra los planos de gestión e identidad de los appliances de perímetro.
Este artículo fue traducido por máquina.
El 22 de septiembre de 2026, F5 reveló CVE-2026-94127 (ID interno 2524777) en BIG-IP Access Policy Manager (APM). Cuando una política de acceso de APM y un perfil OAuth están configurados en un servidor virtual, determinado tráfico malicioso puede conducir a la ejecución remota de código (RCE) — un desbordamiento de búfer basado en el heap (CWE-122) — con una puntuación CVSS v3.1 de 9.8 (según lo informado por F5) y un CVSS v4.0 de 9.3 (según lo informado por F5, a través de NVD). El fallo se limita a los despliegues en los que BIG-IP APM está configurado como servidor de autorización OAuth; los despliegues que usan APM estrictamente como cliente / servidor de recursos no se ven afectados. F5 declara que está «al tanto de que esta vulnerabilidad ha sido explotada» y señala que el defecto se descubrió internamente. Es un problema del plano de datos, sin exposición del plano de control, y BIG-IP en modo Appliance también es vulnerable. Las versiones afectadas son 21.1.0 (corregida en Hotfix-BIGIP-21.1.0.2.0.30.22-ENG), 17.5.0-17.5.1 (corregida en Hotfix-BIGIP-17.5.1.9.0.160.12-ENG) y 17.1.0-17.1.3 (corregida en Hotfix-BIGIP 17.1.3.5.0.41.14-ENG); BIG-IP Next, F5 Distributed Cloud, NGINX y F5OS no se ven afectados (aviso de F5 K000162605).
CISA añadió la vulnerabilidad a su catálogo KEV el 22 de septiembre y dio a las agencias civiles federales hasta el 25 de septiembre para responder (BOD 26-04, tres días desde la inclusión). Está sujeta a triaje forense, y las notas de KEV de CISA indican a los operadores que apliquen la iRule proporcionada por el proveedor como mitigación temporal y que, después, instalen el parche final lo antes posible. F5 ofrece asimismo una mitigación mediante iRule para el servidor virtual afectado, disponible a través del soporte de F5. Para la evaluación del compromiso, F5 publicó tres indicadores de compromiso, que el aviso de CERT-EU (2026-013) organiza en una revisión de cuatro pasos: fallos repetidos de autenticación OAuth (invalid_token) en /var/log/apm, un aumento no explicado de total_failed mediante tmctl global_oauth_stat, órdenes sospechosas en /var/log/audit en torno a esas marcas de tiempo, y el bucle de TMM que hace que el demonio SOD envíe un SIGABRT (la sola presencia de un archivo core de TMM no es un indicador); es la combinación y la frecuencia de estos elementos lo que se correlaciona con un ataque (según The Hacker News, el catálogo KEV de CISA y CERT-EU).
Análisis (separado de los hechos): lo que merece atención es menos el CVE aislado que la composición de las cuatro entradas que entraron en el catálogo KEV el 22 de septiembre: este fallo de F5 BIG-IP APM, más Arista VeloCloud Orchestrator (CVE-2026-93952) y dos fallos de servidores de gestión de Check Point (CVE-2026-93616 / CVE-2026-85102). Su hilo común es que los objetivos son los «planos de gestión e identidad» de las funciones de red distribuidas. La semana pasada este observatorio cubrió la omisión de autenticación de la API de gestión de Cisco ISE (CVE-2026-76460) y el problema de que los propios registros de un appliance comprometido dejen de ser una fuente primaria. Este caso avanza un paso más: allí donde APM se usa como servidor de autorización OAuth, el propio appliance es en la práctica el emisor de identidad, y una RCE sin autenticación en su plano de datos conlleva la connotación de capturar al propio emisor. El hecho de que F5 descubriera el defecto internamente sugiere una ventana silenciosa de explotación en el mundo real antes de la divulgación; la atribución de la parte que explota aún no es pública.
Implicaciones para la defensa: (1) Si usted ejecuta BIG-IP APM como servidor de autorización OAuth, aplique primero el hotfix correspondiente (o una versión posterior de la misma rama). Los despliegues que usan APM estrictamente como cliente / servidor de recursos quedan fuera de alcance, pero las configuraciones híbridas que incluyen un perfil de servidor de autorización necesitan un inventario por servidor virtual. (2) Donde la mitigación mediante iRule se despliegue antes del parche, regístrela como mitigación — según las notas de CISA, como una medida provisional que debe ir acompañada del parche final. (3) Ejecute la detección en cuatro etapas de CERT-EU (repetición de fallos de OAuth, total_failed, registros de auditoría, core de TMM) en el propio appliance y revise también el historial de firewall / NetFlow del tráfico hacia APM, partiendo de la premisa de que los propios registros del appliance pueden dejar de ser una fuente primaria. (4) Con la misma lente, inventaríe la exposición de los activos del «plano de gestión e identidad» — incluidos Arista VCO y los servidores de gestión de Check Point — junto con el parcheo de cada CVE. Los hechos aquí se apoyan en el aviso de F5 (https://my.f5.com/manage/s/article/K000162605), el catálogo KEV de CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), el registro CVE de NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-94127), el aviso 2026-013 de CERT-EU (https://cert.europa.eu/publications/security-advisories/2026-013/), The Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html) y SecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/). El análisis se mantiene separado de la información.