वह सप्ताह जब पहचान जारीकर्ता स्वयं गिर गया — F5 BIG-IP APM OAuth शून्य-दिन (CVE-2026-94127) और प्रबंधन तथा पहचान प्लेन पर KEV का संकेंद्रण
F5 ने 22 सितंबर को खुलासा किया कि BIG-IP APM के OAuth पथ में एक गंभीर शून्य-दिन (CVE-2026-94127, CVSS 9.8) अप्रमाणित रिमोट कोड निष्पादन की अनुमति देता है, और जंगल में शोषण की पुष्टि की। CISA ने उसी दिन इसे KEV कैटलॉग में जोड़ा, संघीय समय-सीमा 25 सितंबर। Arista VCO और Check Point के 2 प्रबंधन-सर्वर दोष भी उसी दिन KEV में आए — हम सीमा उपकरणों के प्रबंधन और पहचान प्लेन पर हमलों के अभिसरण की जाँच करते हैं।
यह लेख मशीन से अनुवादित किया गया था।
22 सितंबर 2026 को F5 ने BIG-IP Access Policy Manager (APM) में CVE-2026-94127 (आंतरिक ID 2524777) का खुलासा किया। जब किसी वर्चुअल सर्वर पर APM एक्सेस पॉलिसी और एक OAuth प्रोफ़ाइल कॉन्फ़िगर हों, तो विशिष्ट दुर्भावनापूर्ण ट्रैफ़िक रिमोट कोड निष्पादन (RCE) तक ले जा सकता है — एक हीप-आधारित बफ़र ओवरफ़्लो (CWE-122) — जिसका CVSS v3.1 स्कोर 9.8 है (जैसा F5 ने रिपोर्ट किया) और CVSS v4.0 का 9.3 (जैसा F5 ने NVD के माध्यम से रिपोर्ट किया)। दोष उन परिनियोजनों तक सीमित है जहाँ BIG-IP APM को OAuth Authorization Server के रूप में कॉन्फ़िगर किया गया है; जो परिनियोजन APM को सख्ती से Client / Resource Server के रूप में उपयोग करते हैं वे प्रभावित नहीं हैं। F5 कहता है कि वह 'जानता है कि इस भेद्यता का शोषण किया गया है' और नोट करता है कि दोष आंतरिक रूप से खोजा गया। यह डेटा-प्लेन का मुद्दा है, कंट्रोल-प्लेन एक्सपोज़र के बिना, और Appliance मोड में BIG-IP भी असुरक्षित है। प्रभावित रिलीज़ हैं 21.1.0 (Hotfix-BIGIP-21.1.0.2.0.30.22-ENG में ठीक), 17.5.0-17.5.1 (Hotfix-BIGIP-17.5.1.9.0.160.12-ENG में ठीक), और 17.1.0-17.1.3 (Hotfix-BIGIP 17.1.3.5.0.41.14-ENG में ठीक); BIG-IP Next, F5 Distributed Cloud, NGINX, और F5OS प्रभावित नहीं हैं (F5 सलाह K000162605)।
CISA ने 22 सितंबर को इस भेद्यता को अपने KEV कैटलॉग में जोड़ा, और संघीय नागरिक एजेंसियों को जवाब के लिए 25 सितंबर तक का समय दिया (BOD 26-04, सूचीकरण से 3 दिन)। यह फ़ोरेंसिक ट्राइएज के अधीन है, और CISA के KEV नोट ऑपरेटरों को निर्देश देते हैं कि विक्रेता द्वारा दिया गया iRule अस्थायी शमन के रूप में लगाएँ, फिर अंतिम पैच यथाशीघ्र स्थापित करें। F5 भी प्रभावित वर्चुअल सर्वर के लिए iRule शमन देता है, जो F5 सपोर्ट के माध्यम से उपलब्ध है। समझौता आकलन के लिए F5 ने 3 समझौता संकेतक प्रकाशित किए, जिन्हें CERT-EU की सलाह (2026-013) 4-चरणीय समीक्षा में व्यवस्थित करती है: /var/log/apm में बार-बार OAuth प्रमाणीकरण विफलताएँ (invalid_token), tmctl global_oauth_stat के माध्यम से total_failed में अस्पष्ट वृद्धि, उन टाइमस्टैम्प के आसपास /var/log/audit में संदिग्ध कमांड, और वह TMM लूप जो SOD डेमन से SIGABRT भिजवाता है (अकेले TMM कोर फ़ाइल की उपस्थिति संकेतक नहीं है) — हमले से सहसंबंध इन्हीं का संयोजन और आवृत्ति है (The Hacker News, CISA के KEV कैटलॉग, और CERT-EU के अनुसार)।
विश्लेषण (तथ्यों से पृथक): ध्यान देने योग्य बात एकल CVE से कम वह संयोजन है जो 22 सितंबर को KEV कैटलॉग में उतरी 4 प्रविष्टियों का है: यह F5 BIG-IP APM दोष, साथ ही Arista VeloCloud Orchestrator (CVE-2026-93952) और Check Point के 2 प्रबंधन-सर्वर दोष (CVE-2026-93616 / CVE-2026-85102)। उनका साझा सूत्र यह है कि वितरित नेटवर्क फ़ंक्शनों के 'प्रबंधन और पहचान प्लेन' लक्ष्य हैं। पिछले सप्ताह इस वेधशाला ने Cisco ISE प्रबंधन-API प्रमाणीकरण बायपास (CVE-2026-76460) को कवर किया था और इस समस्या को कि समझौता हुए उपकरण के अपने लॉग अब प्राथमिक स्रोत नहीं रहते। यह मामला उसे एक कदम आगे ले जाता है: जहाँ APM को OAuth प्राधिकरण सर्वर के रूप में उपयोग किया जाता है, उपकरण स्वयं प्रभावी रूप से पहचान जारीकर्ता है, और उसके डेटा प्लेन पर अप्रमाणित RCE जारीकर्ता को स्वयं कैद करने का अर्थ रखता है। यह तथ्य कि F5 ने दोष आंतरिक रूप से खोजा, खुलासे से पहले जंगल में शांत शोषण की एक खिड़की का सुझाव देता है; शोषण करने वाले पक्ष का आरोपण अभी सार्वजनिक नहीं है।
रक्षात्मक निहितार्थ: (1) यदि आप BIG-IP APM को OAuth प्राधिकरण सर्वर के रूप में चलाते हैं, तो मेल खाता हॉटफ़िक्स (या उसी शाखा पर बाद की रिलीज़) पहले लगाएँ। APM को सख्ती से क्लाइंट / रिसोर्स सर्वर के रूप में उपयोग करने वाले परिनियोजन दायरे से बाहर हैं, परंतु जिन हाइब्रिड कॉन्फ़िगरेशन में प्राधिकरण-सर्वर प्रोफ़ाइल शामिल है उन्हें प्रति-वर्चुअल-सर्वर इन्वेंटरी की आवश्यकता है। (2) जहाँ पैच से पहले iRule शमन लगाया जाए, उसे शमन के रूप में दर्ज करें — CISA के नोट के अनुसार, अंतिम पैच के साथ जोड़ी जाने वाली अस्थायी व्यवस्था। (3) उपकरण पर ही CERT-EU की 4-चरणीय पहचान चलाएँ (OAuth-विफलता की पुनरावृत्ति, total_failed, ऑडिट लॉग, TMM कोर), और साथ ही APM की ओर ट्रैफ़िक के लिए फ़ायरवॉल / NetFlow इतिहास की समीक्षा करें, इस आधार पर कि उपकरण के अपने लॉग अब प्राथमिक स्रोत न रहें। (4) उसी दृष्टि से, 'प्रबंधन और पहचान प्लेन' परिसंपत्तियों के एक्सपोज़र की इन्वेंटरी करें — Arista VCO और Check Point प्रबंधन सर्वर सहित — प्रति-CVE पैचिंग के साथ। यहाँ के तथ्य F5 की सलाह (https://my.f5.com/manage/s/article/K000162605), CISA KEV कैटलॉग (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), NVD CVE रिकॉर्ड (https://nvd.nist.gov/vuln/detail/CVE-2026-94127), CERT-EU सलाह 2026-013 (https://cert.europa.eu/publications/security-advisories/2026-013/), The Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html), और SecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/) पर आधारित हैं। विश्लेषण को रिपोर्टिंग से अलग रखा गया है।