Peken nalika panerbit identitas dhewe tiba — zero-day OAuth F5 BIG-IP APM (CVE-2026-94127) lan konsentrasi KEV ing bidang manajemen lan identitas
F5 mbukak ing tanggal 22 September yen zero-day kritis ing jalur OAuth BIG-IP APM (CVE-2026-94127, CVSS 9.8) ngidini eksekusi kode jarak jauh tanpa autentikasi, lan mesthekake eksploitasi ing kahanan nyata. CISA nambahake menyang katalog KEV ing dina sing padha kanthi wates wektu federal tanggal 25 September. Arista VCO lan 2 cacat server manajemen Check Point uga mlebu KEV ing dina iku — tulisan iki nliti kumpule panyerangan marang bidang manajemen lan identitas piranti wates.
Artikel iki dijarwakake dening mesin.
Ing tanggal 22 September 2026, F5 ngumumake CVE-2026-94127 (ID internal 2524777) ing BIG-IP Access Policy Manager (APM). Nalika kabijakan akses APM lan profil OAuth dikonfigurasi ing server virtual, trafik jahat tartamtu bisa nuntun menyang eksekusi kode jarak jauh (RCE) — buffer overflow adhedhasar heap (CWE-122) — kanthi skor CVSS v3.1 9.8 (kaya sing dilaporake F5) lan CVSS v4.0 9.3 (kaya sing dilaporake F5, liwat NVD). Cacat iki diwatesi ing panyebaran sing BIG-IP APM dikonfigurasi minangka OAuth Authorization Server; panyebaran sing nganggo APM mung minangka Client / Resource Server ora kena. F5 nyatakake yen dheweke «ngerti yen cacat iki wis dieksploitasi» lan nyathet yen cacat ditemokake saka njero. Iki masalah bidang data tanpa kebukakan bidang kontrol, lan BIG-IP ing Appliance mode uga kena. Rilis sing kena yaiku 21.1.0 (ditambal ing Hotfix-BIGIP-21.1.0.2.0.30.22-ENG), 17.5.0-17.5.1 (ditambal ing Hotfix-BIGIP-17.5.1.9.0.160.12-ENG), lan 17.1.0-17.1.3 (ditambal ing Hotfix-BIGIP 17.1.3.5.0.41.14-ENG); BIG-IP Next, F5 Distributed Cloud, NGINX, lan F5OS ora kena (nasihat F5 K000162605).
CISA nambahake cacat iki menyang katalog KEV ing tanggal 22 September, menehi badan sipil federal nganti tanggal 25 September kanggo nanggapi (BOD 26-04, 3 dina saka kadhaptar). Cacat iki kena triase forensik, lan cathetan KEV CISA ngarahake operator ngetrapake iRule sing diwenehake vendor minangka mitigasi sauntara, banjur masang tambalan pungkasan sanalika bisa. F5 uga nawakake mitigasi iRule kanggo server virtual sing kena, sing kasedhiya liwat dhukungan F5. Kanggo penilaian kompromi, F5 mbabar 3 indikator kompromi, sing nasihat CERT-EU (2026-013) atur dadi ulasan 4 langkah: kagagalan autentikasi OAuth sing bola-bali (invalid_token) ing /var/log/apm, mundhake total_failed sing ora bisa diterangake liwat tmctl global_oauth_stat, printah curiga ing /var/log/audit ing sekitar tandha wektu kuwi, lan loop TMM sing ndadekake daemon SOD ngirim SIGABRT (anane berkas inti TMM dhewe dudu indikator) — kombinasi lan frekuensi iki sing gegandhengan karo panyerangan (miturut The Hacker News, katalog KEV CISA, lan CERT-EU).
Analisis (kapisah saka fakta): sing pantes digatekake kurang 1 CVE tinimbang susunan 4 entri sing mlebu katalog KEV ing tanggal 22 September: cacat F5 BIG-IP APM iki, ditambah Arista VeloCloud Orchestrator (CVE-2026-93952) lan 2 cacat server manajemen Check Point (CVE-2026-93616 / CVE-2026-85102). Benang padha-e yaiku «bidang manajemen lan identitas» fungsi jaringan sing disebar yaiku target. Peken kepungkur observatorium iki nutupi bypass autentikasi API manajemen Cisco ISE (CVE-2026-76460) lan masalah yen log piranti sing wis dikompromi dhewe ora maneh dadi sumber utama. Kasus iki nerusake sak langkah maneh: ing ngendi APM dianggo minangka server otorisasi OAuth, piranti dhewe satemene dadi panerbit identitas, lan RCE tanpa autentikasi ing bidang data-ne nggawa makna nyekel panerbit dhewe. Fakta yen F5 nemokake cacat saka njero menehi kesan ana jendhela eksploitasi sing sepi ing kahanan nyata sadurunge kababar; atribusi pihak sing ngeksploitasi durung umum.
Akibat kanggo pangreksa: (1) Menawa sampeyan nglakokake BIG-IP APM minangka server otorisasi OAuth, terapake hotfix sing cocog (utawa rilis sabanjure ing cabang sing padha) dhisik. Panyebaran sing nganggo APM mung minangka client / resource server ana ing njaba wates, nanging konfigurasi hibrida sing ngandhut profil server otorisasi perlu dhaftar saben server virtual. (2) Ing ngendi mitigasi iRule dipasang sadurunge ditambal, cathet minangka mitigasi — miturut cathetan CISA, minangka panahan sauntara sing kudu dipasangake karo tambalan pungkasan. (3) Lakokake deteksi 4 tahap CERT-EU (pangulangan kagagalan OAuth, total_failed, log audit, inti TMM) ing piranti dhewe, lan uga tinjo riwayat firewall / NetFlow kanggo trafik menyang APM, kanthi anggepan log piranti dhewe bisa ora maneh dadi sumber utama. (4) Kanthi cara ndeleng sing padha, dhaftarake kebukakan aset «bidang manajemen lan identitas» — klebu Arista VCO lan server manajemen Check Point — bebarengan karo tambalan saben CVE. Fakta ing kene dijupuk saka nasihat F5 (https://my.f5.com/manage/s/article/K000162605), katalog KEV CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), cathetan CVE NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-94127), nasihat CERT-EU 2026-013 (https://cert.europa.eu/publications/security-advisories/2026-013/), The Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html), lan SecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/). Analisis dijaga kapisah saka pawarta.