Неделя, когда пал сам издатель удостоверений — zero-day OAuth в F5 BIG-IP APM (CVE-2026-94127) и концентрация KEV на плоскостях управления и удостоверений
22 сентября F5 раскрыла критический zero-day в пути OAuth BIG-IP APM (CVE-2026-94127, CVSS 9.8), который позволяет удалённое выполнение кода без аутентификации, и подтвердила эксплуатацию in the wild. CISA в тот же день добавила его в каталог KEV со федеральным сроком 25 сентября. Arista VCO и два изъяна серверов управления Check Point также вошли в KEV в тот день — мы рассматриваем схождение атак на плоскости управления и удостоверений граничных устройств.
Эта статья была переведена машиной.
22 сентября 2026 года F5 раскрыла CVE-2026-94127 (внутренний ID 2524777) в BIG-IP Access Policy Manager (APM). Когда политика доступа APM и профиль OAuth настроены на virtual server, определённый вредоносный трафик может привести к удалённому выполнению кода (RCE) — переполнению буфера в куче (CWE-122) — с оценкой CVSS v3.1 9.8 (как сообщает F5) и CVSS v4.0 9.3 (как сообщает F5, через NVD). Изъян ограничен развёртываниями, где BIG-IP APM настроен как OAuth Authorization Server; развёртывания, использующие APM строго как Client / Resource Server, не затронуты. F5 заявляет, что «осведомлена о том, что эта уязвимость эксплуатировалась», и отмечает, что дефект обнаружен внутри компании. Это проблема data plane без экспозиции control plane, и BIG-IP в режиме Appliance также уязвим. Затронутые выпуски: 21.1.0 (исправлено в Hotfix-BIGIP-21.1.0.2.0.30.22-ENG), 17.5.0-17.5.1 (исправлено в Hotfix-BIGIP-17.5.1.9.0.160.12-ENG) и 17.1.0-17.1.3 (исправлено в Hotfix-BIGIP 17.1.3.5.0.41.14-ENG); BIG-IP Next, F5 Distributed Cloud, NGINX и F5OS не затронуты (рекомендация F5 K000162605).
CISA добавила уязвимость в свой каталог KEV 22 сентября, дав федеральным гражданским ведомствам срок до 25 сентября, чтобы отреагировать (BOD 26-04, три дня с момента включения). Она подлежит криминалистической сортировке, и примечания KEV от CISA направляют операторов применить предоставленное поставщиком правило iRule как временное смягчение, а затем установить окончательное исправление как можно скорее. F5 также предлагает смягчение через iRule для затронутого virtual server, доступное через поддержку F5. Для оценки компрометации F5 опубликовала три индикатора компрометации, которые рекомендация CERT-EU (2026-013) организует в проверку из четырёх шагов: повторяющиеся сбои аутентификации OAuth (invalid_token) в /var/log/apm, необъяснимый рост total_failed через tmctl global_oauth_stat, подозрительные команды в /var/log/audit около этих меток времени и цикл TMM, из-за которого демон SOD посылает SIGABRT (наличие одного лишь файла core TMM индикатором не является) — с атакой коррелируют сочетание и частота этих признаков (по The Hacker News, каталогу KEV CISA и CERT-EU).
Анализ (отделён от фактов): внимания заслуживает не столько отдельный CVE, сколько состав четырёх записей, попавших в каталог KEV 22 сентября: этот изъян F5 BIG-IP APM, плюс Arista VeloCloud Orchestrator (CVE-2026-93952) и два изъяна серверов управления Check Point (CVE-2026-93616 / CVE-2026-85102). Общая нить в том, что целями являются «плоскости управления и удостоверений» распределённых сетевых функций. На прошлой неделе эта обсерватория разбирала обход аутентификации API управления Cisco ISE (CVE-2026-76460) и проблему того, что собственные журналы скомпрометированного устройства перестают быть первичным источником. Этот случай продвигает это на шаг дальше: там, где APM используется как сервер авторизации OAuth, само устройство фактически является издателем удостоверений, а неаутентифицированное RCE на его data plane несёт значение захвата самого издателя. То, что F5 обнаружила дефект внутри, позволяет предположить тихий промежуток эксплуатации in the wild до раскрытия; атрибуция эксплуатирующей стороны пока не опубликована.
Выводы для защиты: (1) Если вы запускаете BIG-IP APM как сервер авторизации OAuth, сначала примените соответствующий hotfix (или более поздний выпуск той же ветви). Развёртывания, использующие APM строго как client / resource server, вне области, но гибридные конфигурации, включающие профиль сервера авторизации, требуют инвентаризации по каждому virtual server. (2) Там, где смягчение iRule развёрнуто до исправления, зафиксируйте его как смягчение — по примечаниям CISA, как временную меру, которую нужно сочетать с окончательным исправлением. (3) Выполните четырёхэтапное обнаружение CERT-EU (повторы сбоев OAuth, total_failed, журналы аудита, core TMM) на самом устройстве, одновременно просматривая историю firewall / NetFlow для трафика к APM, исходя из того, что собственные журналы устройства могут больше не быть первичным источником. (4) В той же оптике инвентаризируйте экспозицию активов «плоскости управления и удостоверений» — включая Arista VCO и серверы управления Check Point — наряду с исправлением по каждому CVE. Факты здесь опираются на рекомендацию F5 (https://my.f5.com/manage/s/article/K000162605), каталог KEV CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), запись CVE в NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-94127), рекомендацию CERT-EU 2026-013 (https://cert.europa.eu/publications/security-advisories/2026-013/), The Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html) и SecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/). Анализ отделён от изложения.