신원 발급자 자체가 무너진 주 — F5 BIG-IP APM OAuth 제로데이(CVE-2026-94127)와 관리·신원 플레인에 모인 KEV
F5는 9월 22일, BIG-IP APM의 OAuth 경로에 있는 치명적 제로데이(CVE-2026-94127, CVSS 9.8)가 인증 없는 원격 코드 실행을 허용한다고 공개하고, 실제 악용을 확인했다. CISA는 같은 날 이를 KEV 카탈로그에 추가했고, 연방 기한은 9월 25일이다. Arista VCO와 Check Point 관리 서버 결함 2건도 그날 KEV에 들어왔다. 본고는 경계 장비의 관리·신원 플레인에 대한 공격의 수렴을 살핀다.
이 글은 기계 번역입니다.
2026년 9월 22일, F5는 BIG-IP Access Policy Manager(APM)의 CVE-2026-94127(내부 ID 2524777)을 공개했다. APM 액세스 정책과 OAuth 프로필이 가상 서버에 구성되어 있으면, 특정한 악성 트래픽이 원격 코드 실행(RCE)으로 이어질 수 있다. 이는 힙 기반 버퍼 오버플로(heap-based buffer overflow, CWE-122)이며, CVSS v3.1 점수는 9.8(F5가 보고)이고 CVSS v4.0은 9.3(F5가 보고, NVD 경유)이다. 이 결함은 BIG-IP APM이 OAuth Authorization Server로 구성된 배포에 한정되며, APM을 엄격히 Client / Resource Server로만 쓰는 배포는 영향을 받지 않는다. F5는 “이 취약점이 악용되었음을 인지하고 있다”고 밝히며, 결함은 내부에서 발견되었다고 적고 있다. 이것은 데이터 플레인의 문제이고 제어 플레인 노출은 없으며, Appliance 모드의 BIG-IP도 취약하다. 영향을 받는 릴리스는 21.1.0(수정은 Hotfix-BIGIP-21.1.0.2.0.30.22-ENG), 17.5.0-17.5.1(수정은 Hotfix-BIGIP-17.5.1.9.0.160.12-ENG), 17.1.0-17.1.3(수정은 Hotfix-BIGIP 17.1.3.5.0.41.14-ENG)이다. BIG-IP Next, F5 Distributed Cloud, NGINX, F5OS는 영향을 받지 않는다(F5 권고 K000162605).
CISA는 9월 22일 이 취약점을 KEV 카탈로그에 추가하고, 연방 민간 기관에 9월 25일까지 대응하도록 했다(BOD 26-04, 등재로부터 3일). 포렌식 트리아지의 대상이며, CISA의 KEV 주석은 운영자에게 벤더가 제공한 iRule을 임시 완화로 적용한 다음 최종 패치를 가능한 한 빨리 설치하라고 지시한다. F5 역시 영향을 받는 가상 서버에 대한 iRule 완화를 제시하며, 이는 F5 지원을 통해 얻을 수 있다. 침해 평가를 위해 F5는 침해 지표 3건을 공개했고, CERT-EU의 권고(2026-013)는 이를 4단계 점검으로 정리한다. /var/log/apm에서 반복되는 OAuth 인증 실패(invalid_token), tmctl global_oauth_stat을 통한 total_failed의 설명되지 않는 증가, 그 시각 전후 /var/log/audit의 의심스러운 명령, 그리고 SOD 데몬이 SIGABRT를 보내게 하는 TMM 루프이다(TMM 코어 파일의 존재만으로는 지표가 아니다). 공격과 상관되는 것은 이들의 조합과 빈도이다(The Hacker News, CISA의 KEV 카탈로그, CERT-EU에 따름).
분석(사실과 분리): 주목할 점은 단일 CVE보다, 9월 22일 KEV 카탈로그에 들어온 4건의 구성이다. 이 F5 BIG-IP APM 결함에 더해 Arista VeloCloud Orchestrator(CVE-2026-93952)와 Check Point 관리 서버 결함 2건(CVE-2026-93616 / CVE-2026-85102)이다. 공통된 줄기는, 분산된 네트워크 기능의 “관리·신원 플레인”이 표적이라는 점이다. 지난주 이 관측은 Cisco ISE 관리 API 인증 우회(CVE-2026-76460)와, 침해된 장비 자신의 로그가 더 이상 1차 출처가 아니게 되는 문제를 다뤘다. 이번 건은 그것을 한 단계 더 나아간다. APM이 OAuth 인가 서버로 쓰이는 곳에서 장비 자신은 사실상 신원 발급자이고, 그 데이터 플레인에서의 인증 없는 RCE는 발급자 자체를 잡는다는 함의를 가진다. F5가 결함을 내부에서 발견했다는 사실은, 공개 전에 조용한 실제 악용의 구간이 있었음을 시사한다. 악용한 쪽의 귀속은 아직 공개되지 않았다.
방어자에 대한 함의: (1) BIG-IP APM을 OAuth 인가 서버로 운영한다면, 해당하는 hotfix(또는 같은 브랜치의 이후 릴리스)를 먼저 적용한다. APM을 엄격히 클라이언트 / 리소스 서버로만 쓰는 배포는 범위 밖이지만, 인가 서버 프로필을 포함하는 하이브리드 구성은 가상 서버마다 점검이 필요하다. (2) 패치 전에 iRule 완화를 배포했다면 완화로 기록한다. CISA의 주석대로, 최종 패치와 짝을 이루는 임시 조치이다. (3) CERT-EU의 4단계 탐지(OAuth 실패의 반복, total_failed, audit 로그, TMM core)를 장비 자신에서 실행하는 한편, 장비 자신의 로그가 더 이상 1차 출처가 아닐 수 있다는 전제에서 APM으로 향하는 트래픽의 방화벽 / NetFlow 이력도 살핀다. (4) 같은 시각으로, Arista VCO와 Check Point 관리 서버를 포함한 “관리·신원 플레인” 자산의 노출을, 개별 CVE 패치와 나란히 점검한다. 여기의 사실은 F5 권고(https://my.f5.com/manage/s/article/K000162605), CISA KEV 카탈로그(https://www.cisa.gov/known-exploited-vulnerabilities-catalog), NVD의 CVE 레코드(https://nvd.nist.gov/vuln/detail/CVE-2026-94127), CERT-EU 권고 2026-013(https://cert.europa.eu/publications/security-advisories/2026-013/), The Hacker News(https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html), SecurityWeek(https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/)에 근거한다. 분석은 보도와 분리해 둔다.