השבוע שבו מנפיק הזהות עצמו נפל — יום אפס ב-OAuth של F5 BIG-IP APM (CVE-2026-94127) וריכוז ה-KEV במישורי הניהול והזהות
F5 חשפה ב-22 בספטמבר שיום אפס קריטי בנתיב ה-OAuth של BIG-IP APM (CVE-2026-94127, CVSS 9.8) מאפשר הרצת קוד מרחוק ללא אימות, ואישרה ניצול בפועל. CISA הוסיפה אותו לקטלוג ה-KEV באותו יום עם מועד פדרלי של 25 בספטמבר. גם Arista VCO ושתי חולשות בשרתי ניהול של Check Point נכנסו ל-KEV באותו יום — אנו בוחנים את התכנסות התקיפות על מישורי הניהול והזהות של מכשירי גבול.
מאמר זה תורגם במכונה.
ב-22 בספטמבר 2026 חשפה F5 את CVE-2026-94127 (מזהה פנימי 2524777) ב-BIG-IP Access Policy Manager (APM). כאשר מדיניות גישה של APM ופרופיל OAuth מוגדרים על שרת וירטואלי, תעבורה זדונית מסוימת יכולה להוביל להרצת קוד מרחוק (RCE) — גלישת חוצץ מבוססת ערימה (CWE-122) — עם ציון CVSS v3.1 של 9.8 (כפי שדיווחה F5) ו-CVSS v4.0 של 9.3 (כפי שדיווחה F5, דרך NVD). החולשה מוגבלת לפריסות שבהן BIG-IP APM מוגדר כ-OAuth Authorization Server; פריסות שמשתמשות ב-APM אך ורק כ-Client / Resource Server אינן מושפעות. F5 מצהירה שהיא «מודעת לכך שהחולשה הזו נוצלה» ומציינת שהפגם התגלה באופן פנימי. זו בעיית מישור נתונים בלי חשיפה של מישור הבקרה, וגם BIG-IP במצב Appliance פגיע. הגרסאות המושפעות הן 21.1.0 (תוקן ב-Hotfix-BIGIP-21.1.0.2.0.30.22-ENG), 17.5.0-17.5.1 (תוקן ב-Hotfix-BIGIP-17.5.1.9.0.160.12-ENG), ו-17.1.0-17.1.3 (תוקן ב-Hotfix-BIGIP 17.1.3.5.0.41.14-ENG); BIG-IP Next, F5 Distributed Cloud, NGINX ו-F5OS אינם מושפעים (ייעוץ F5 K000162605).
CISA הוסיפה את החולשה לקטלוג ה-KEV שלה ב-22 בספטמבר, ונתנה לסוכנויות אזרחיות פדרליות עד 25 בספטמבר להגיב (BOD 26-04, שלושה ימים מן הרישום). היא כפופה למיון פורנזי, והערות ה-KEV של CISA מפנות את המפעילים להחיל את ה-iRule שסיפק היצרן כאמצעי הקלה זמני, ואז להתקין את התיקון הסופי בהקדם האפשרי. גם F5 מציעה הקלת iRule לשרת הווירטואלי המושפע, והיא זמינה דרך התמיכה של F5. להערכת פשרה פרסמה F5 שלושה אינדיקטורים של פשרה, והייעוץ של CERT-EU (2026-013) מסדר אותם לבדיקה בארבעה שלבים: כשלי אימות OAuth חוזרים (invalid_token) ב-/var/log/apm, עלייה בלתי מוסברת ב-total_failed דרך tmctl global_oauth_stat, פקודות חשודות ב-/var/log/audit סביב חותמות הזמן האלה, ולולאת TMM שגורמת לדימון SOD לשלוח SIGABRT (נוכחות של קובץ ליבה של TMM לבדה אינה אינדיקטור) — השילוב והתדירות של אלה הם שמתואמים עם תקיפה (לפי The Hacker News, קטלוג ה-KEV של CISA, ו-CERT-EU).
ניתוח (מופרד מהעובדות): מה שראוי לתשומת לב הוא פחות ה-CVE הבודד ויותר ההרכב של ארבע הרשומות שנחתו בקטלוג ה-KEV ב-22 בספטמבר: חולשת F5 BIG-IP APM הזו, ועוד Arista VeloCloud Orchestrator (CVE-2026-93952) ושתי חולשות בשרת ניהול של Check Point (CVE-2026-93616 / CVE-2026-85102). החוט המשותף שלהן הוא ש«מישורי הניהול והזהות» של פונקציות רשת מבוזרות הם המטרות. בשבוע שעבר סקר המצפה הזה את עקיפת האימות ב-API הניהול של Cisco ISE (CVE-2026-76460) ואת הבעיה שיומני מכשיר שנפרץ עצמם אינם עוד מקור ראשי. המקרה הזה מתקדם צעד נוסף: במקום שבו APM משמש כשרת הרשאות OAuth, המכשיר עצמו הוא בפועל מנפיק הזהות, ולהרצת קוד מרחוק ללא אימות במישור הנתונים שלו יש את המשמעות של תפיסת המנפיק עצמו. העובדה ש-F5 גילתה את הפגם באופן פנימי מרמזת על חלון ניצול שקט בפועל לפני הגילוי; ייחוס הצד המנצל עדיין אינו פומבי.
השלכות הגנתיות: (1) אם מריצים BIG-IP APM כשרת הרשאות OAuth, יש להחיל תחילה את ה-hotfix התואם (או מהדורה מאוחרת יותר באותו ענף). פריסות שמשתמשות ב-APM אך ורק כלקוח / שרת משאבים הן מחוץ לתחום, אבל תצורות היברידיות שכוללות פרופיל של שרת הרשאות צריכות מצאי לכל שרת וירטואלי. (2) במקום שבו הקלת ה-iRule נפרסת לפני התיקון, יש לרשום אותה כאמצעי הקלה — לפי הערות CISA, כפתרון ביניים שיש לזווג עם התיקון הסופי. (3) יש להריץ את הזיהוי בארבעת השלבים של CERT-EU (חזרה על כשלי OAuth, total_failed, יומני audit, ליבת TMM) על המכשיר עצמו, ובמקביל לסקור היסטוריית firewall / NetFlow של תעבורה אל APM, מתוך ההנחה שיומני המכשיר עצמו עשויים שלא להיות עוד מקור ראשי. (4) באותה עדשה, יש לערוך מצאי של החשיפה של נכסי «מישור הניהול והזהות» — כולל Arista VCO ושרתי הניהול של Check Point — לצד תיקון לכל CVE. העובדות כאן נשענות על הייעוץ של F5 (https://my.f5.com/manage/s/article/K000162605), קטלוג ה-KEV של CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), רשומת ה-CVE ב-NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-94127), ייעוץ CERT-EU 2026-013 (https://cert.europa.eu/publications/security-advisories/2026-013/), The Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html), ו-SecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/). הניתוח נשמר בנפרד מן הדיווח.