A semana em que o próprio emissor de identidade caiu — zero-day de OAuth no F5 BIG-IP APM (CVE-2026-94127) e a concentração do KEV nos planos de gestão e de identidade
A F5 divulgou em 22 de setembro que um zero-day crítico no caminho OAuth do BIG-IP APM (CVE-2026-94127, CVSS 9.8) permite execução remota de código sem autenticação e confirmou exploração ativa. A CISA adicionou-o ao catálogo KEV no mesmo dia, com prazo federal de 25 de setembro. Arista VCO e duas falhas de servidores de gestão da Check Point também entraram no KEV nesse dia — examinamos a convergência de ataques aos planos de gestão e de identidade dos appliances de fronteira.
Este artigo foi traduzido por máquina.
Em 22 de setembro de 2026, a F5 divulgou CVE-2026-94127 (ID interno 2524777) no BIG-IP Access Policy Manager (APM). Quando uma política de acesso do APM e um perfil OAuth estão configurados num virtual server, tráfego malicioso específico pode conduzir à execução remota de código (RCE) — um buffer overflow baseado em heap (CWE-122) — com pontuação CVSS v3.1 de 9.8 (conforme comunicado pela F5) e CVSS v4.0 de 9.3 (conforme comunicado pela F5, via NVD). A falha limita-se aos ambientes em que o BIG-IP APM está configurado como OAuth Authorization Server; ambientes que usam o APM estritamente como Client / Resource Server não são afetados. A F5 afirma estar 'ciente de que esta vulnerabilidade foi explorada' e observa que o defeito foi descoberto internamente. É um problema de data plane, sem exposição de control plane, e o BIG-IP em Appliance mode também é vulnerável. As releases afetadas são 21.1.0 (corrigida em Hotfix-BIGIP-21.1.0.2.0.30.22-ENG), 17.5.0-17.5.1 (corrigida em Hotfix-BIGIP-17.5.1.9.0.160.12-ENG) e 17.1.0-17.1.3 (corrigida em Hotfix-BIGIP 17.1.3.5.0.41.14-ENG); BIG-IP Next, F5 Distributed Cloud, NGINX e F5OS não são afetados (advisory da F5 K000162605).
A CISA adicionou a vulnerabilidade ao seu catálogo KEV em 22 de setembro, dando às agências civis federais até 25 de setembro para responder (BOD 26-04, 3 dias desde a inclusão). Está sujeita a triagem forense, e as notas do KEV da CISA orientam os operadores a aplicar o iRule fornecido pelo fornecedor como mitigação temporária e, em seguida, a instalar a correção final assim que possível. A F5 também oferece uma mitigação por iRule para o virtual server afetado, disponível pelo suporte da F5. Para avaliação de comprometimento, a F5 publicou 3 indicadores de comprometimento, que o advisory da CERT-EU (2026-013) organiza numa revisão de 4 passos: falhas repetidas de autenticação OAuth (invalid_token) em /var/log/apm, um aumento sem explicação de total_failed via tmctl global_oauth_stat, comandos suspeitos em /var/log/audit em torno desses timestamps e o loop do TMM que faz o daemon SOD enviar um SIGABRT (a mera presença de um core file do TMM não é um indicador) — é a combinação e a frequência destes elementos que se correlacionam com um ataque (conforme The Hacker News, o catálogo KEV da CISA e a CERT-EU).
Análise (separada do relato factual): o que merece atenção é menos o CVE isolado do que a composição das 4 entradas que entraram no catálogo KEV em 22 de setembro: esta falha do F5 BIG-IP APM, mais o Arista VeloCloud Orchestrator (CVE-2026-93952) e duas falhas de servidores de gestão da Check Point (CVE-2026-93616 / CVE-2026-85102). O traço comum é que os alvos são os 'planos de gestão e de identidade' das funções de rede distribuídas. Na semana passada, este observatório tratou o bypass de autenticação da API de gestão do Cisco ISE (CVE-2026-76460) e o problema de os logs do próprio appliance comprometido deixarem de ser uma fonte primária. Este caso avança isso um passo: onde o APM é usado como servidor de autorização OAuth, o próprio appliance é, na prática, o emissor de identidade, e um RCE sem autenticação no seu data plane carrega a conotação de capturar o próprio emissor. A descoberta interna do defeito pela F5 sugere uma janela silenciosa de exploração ativa antes da divulgação; a atribuição de quem explorou ainda não é pública.
Implicações defensivas: (1) Se executar o BIG-IP APM como servidor de autorização OAuth, aplique primeiro o hotfix correspondente (ou uma release posterior no mesmo branch). Ambientes que usam o APM estritamente como client / resource server ficam fora do escopo, mas configurações híbridas que incluem um perfil de authorization server exigem um inventário por virtual server. (2) Onde a mitigação por iRule for colocada antes da correção, documente-a como mitigação — conforme as notas da CISA, como paliativo a ser acompanhado pela correção final. (3) Execute a detecção de 4 etapas da CERT-EU (repetição de falhas de OAuth, total_failed, logs de audit, core do TMM) no próprio appliance e, em paralelo, revise o histórico de firewall / NetFlow do tráfego destinado ao APM, na premissa de que os logs do próprio appliance podem já não ser uma fonte primária. (4) Com a mesma lente, inventarie a exposição dos ativos de 'plano de gestão e de identidade' — incluídos o Arista VCO e os servidores de gestão da Check Point — em paralelo à correção por CVE. Os dados factuais aqui apoiam-se no advisory da F5 (https://my.f5.com/manage/s/article/K000162605), no catálogo KEV da CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), na entrada CVE da NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-94127), no advisory 2026-013 da CERT-EU (https://cert.europa.eu/publications/security-advisories/2026-013/), em The Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html) e em SecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/). A análise é mantida separada do relato.