Pekan ketika penerbit identitas itu sendiri jatuh — zero-day OAuth F5 BIG-IP APM (CVE-2026-94127) dan konsentrasi KEV pada bidang manajemen dan identitas
F5 mengungkap pada 22 September bahwa zero-day kritis pada jalur OAuth BIG-IP APM (CVE-2026-94127, CVSS 9.8) memungkinkan eksekusi kode jarak jauh tanpa autentikasi, dan mengonfirmasi eksploitasi in-the-wild. CISA menambahkannya ke katalog KEV pada hari yang sama dengan tenggat federal 25 September. Arista VCO dan dua cacat server manajemen Check Point juga masuk KEV pada hari itu — kami menelaah konvergensi serangan pada bidang manajemen dan identitas appliance batas.
Artikel ini diterjemahkan oleh mesin.
Pada 22 September 2026, F5 mengungkap CVE-2026-94127 (ID internal 2524777) pada BIG-IP Access Policy Manager (APM). Ketika kebijakan akses APM dan profil OAuth dikonfigurasi pada virtual server, lalu lintas berbahaya tertentu dapat menyebabkan remote code execution (RCE) — luapan buffer berbasis heap (CWE-122) — dengan skor CVSS v3.1 sebesar 9.8 (sebagaimana dilaporkan oleh F5) dan CVSS v4.0 sebesar 9.3 (sebagaimana dilaporkan oleh F5, melalui NVD). Cacat ini terbatas pada penerapan di mana BIG-IP APM dikonfigurasi sebagai OAuth Authorization Server; penerapan yang menggunakan APM semata-mata sebagai Client / Resource Server tidak terpengaruh. F5 menyatakan bahwa pihaknya 'mengetahui bahwa kerentanan ini telah dieksploitasi' dan mencatat bahwa cacat itu ditemukan secara internal. Ini adalah masalah data-plane tanpa paparan control-plane, dan BIG-IP dalam Appliance mode juga rentan. Rilis yang terpengaruh adalah 21.1.0 (diperbaiki di Hotfix-BIGIP-21.1.0.2.0.30.22-ENG), 17.5.0-17.5.1 (diperbaiki di Hotfix-BIGIP-17.5.1.9.0.160.12-ENG), dan 17.1.0-17.1.3 (diperbaiki di Hotfix-BIGIP 17.1.3.5.0.41.14-ENG); BIG-IP Next, F5 Distributed Cloud, NGINX, dan F5OS tidak terpengaruh (advisori F5 K000162605).
CISA menambahkan kerentanan ini ke katalog KEV-nya pada 22 September, memberi lembaga sipil federal waktu hingga 25 September untuk merespons (BOD 26-04, tiga hari sejak pencatatan). Kerentanan ini tunduk pada triase forensik, dan catatan KEV CISA mengarahkan operator untuk menerapkan iRule yang disediakan vendor sebagai mitigasi sementara, lalu memasang patch final sesegera mungkin. F5 juga menawarkan mitigasi iRule untuk virtual server yang terpengaruh, tersedia melalui dukungan F5. Untuk penilaian kompromi, F5 menerbitkan tiga indikator kompromi, yang advisori CERT-EU (2026-013) susun menjadi tinjauan empat langkah: kegagalan autentikasi OAuth yang berulang (invalid_token) di /var/log/apm, kenaikan total_failed yang tidak terjelaskan melalui tmctl global_oauth_stat, perintah yang mencurigakan di /var/log/audit di sekitar stempel waktu itu, dan loop TMM yang membuat daemon SOD mengirim SIGABRT (keberadaan berkas core TMM saja bukan indikator) — kombinasi dan frekuensi hal-hal inilah yang berkorelasi dengan serangan (menurut The Hacker News, katalog KEV CISA, dan CERT-EU).
Analisis (dipisahkan dari fakta): yang layak diperhatikan bukanlah CVE tunggal, melainkan komposisi empat entri yang masuk katalog KEV pada 22 September: cacat F5 BIG-IP APM ini, ditambah Arista VeloCloud Orchestrator (CVE-2026-93952) dan dua cacat server manajemen Check Point (CVE-2026-93616 / CVE-2026-85102). Benang merahnya adalah bahwa 'bidang manajemen dan identitas' dari fungsi jaringan terdistribusi menjadi sasaran. Pekan lalu observatorium ini membahas bypass autentikasi API manajemen Cisco ISE (CVE-2026-76460) dan masalah log milik appliance yang sudah terkompromi yang tidak lagi menjadi sumber primer. Kasus ini melangkah lebih jauh dari itu: ketika APM digunakan sebagai server otorisasi OAuth, appliance itu sendiri secara efektif adalah penerbit identitas, dan RCE tanpa autentikasi pada data plane-nya membawa konotasi penangkapan penerbit itu sendiri. Fakta bahwa F5 menemukan cacat itu secara internal menyiratkan jendela eksploitasi in-the-wild yang tenang sebelum pengungkapan; atribusi pihak yang mengeksploitasi belum dipublikasikan.
Implikasi defensif: (1) Jika Anda menjalankan BIG-IP APM sebagai server otorisasi OAuth, terapkan hotfix yang sesuai (atau rilis yang lebih baru pada cabang yang sama) terlebih dahulu. Penerapan yang menggunakan APM semata-mata sebagai client / resource server berada di luar cakupan, tetapi konfigurasi hibrida yang menyertakan profil authorization-server memerlukan inventaris per virtual server. (2) Jika mitigasi iRule diterapkan sebelum patching, catat sebagai mitigasi — sesuai catatan CISA, sebagai penahan sementara yang dipasangkan dengan patch final. (3) Jalankan deteksi empat tahap CERT-EU (pengulangan kegagalan OAuth, total_failed, log audit, core TMM) pada appliance itu sendiri, sambil juga meninjau riwayat firewall / NetFlow untuk lalu lintas menuju APM, dengan premis bahwa log milik appliance sendiri mungkin tidak lagi menjadi sumber primer. (4) Dengan lensa yang sama, inventarisasi paparan aset 'bidang manajemen dan identitas' — termasuk Arista VCO dan server manajemen Check Point — bersamaan dengan patching per-CVE. Fakta di sini bersumber dari advisori F5 (https://my.f5.com/manage/s/article/K000162605), katalog KEV CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), catatan CVE NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-94127), advisori CERT-EU 2026-013 (https://cert.europa.eu/publications/security-advisories/2026-013/), The Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html), dan SecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/). Analisis dijaga terpisah dari pelaporan.