Pekan nalika pamedal idéntitas sorangan murag — zero-day OAuth F5 BIG-IP APM (CVE-2026-94127) jeung konsentrasi KEV dina widang manajemén jeung idéntitas
F5 ngungkabkeun dina 22 Séptémber yén zero-day kritis dina jalur OAuth BIG-IP APM (CVE-2026-94127, CVSS 9.8) ngidinan éksekusi kode jarak jauh tanpa auténtikasi, jeung ngonfirmasi éksploitasi di alam liar. CISA nambahanana kana katalog KEV dina poé anu sami kalayan wates waktos fédéral 25 Séptémber. Arista VCO jeung dua cacad server manajemén Check Point ogé asup ka KEV dina poé éta — urang nalungtik kumpulna serangan dina widang manajemén jeung idéntitas pakakas wates.
Artikel ieu ditarjamahkeun ku mesin.
Dina 22 Séptémber 2026, F5 ngungkabkeun CVE-2026-94127 (ID internal 2524777) dina BIG-IP Access Policy Manager (APM). Nalika kawijakan aksés APM jeung profil OAuth dikonfigurasi dina virtual server, trafik jahat nu tangtu tiasa nungtun ka éksekusi kode jarak jauh (RCE) — heap-based buffer overflow (CWE-122) — kalayan skor CVSS v3.1 9.8 (sakumaha dilaporkeun ku F5) jeung CVSS v4.0 9.3 (sakumaha dilaporkeun ku F5, ngaliwatan NVD). Cacad ieu diwates dina panyebaran tempat BIG-IP APM dikonfigurasi minangka OAuth Authorization Server; panyebaran anu nganggo APM ketat minangka Client / Resource Server henteu kapangaruhan. F5 nyatakeun yén maranéhna «wanoh yén kalemahan ieu geus diéksploitasi» jeung nyatet yén cacad kapanggih ti jero. Ieu masalah widang data tanpa paparan widang kontrol, jeung BIG-IP dina mode Appliance ogé katarajang. Rilis anu katarajang nyaéta 21.1.0 (dilereskeun dina Hotfix-BIGIP-21.1.0.2.0.30.22-ENG), 17.5.0-17.5.1 (dilereskeun dina Hotfix-BIGIP-17.5.1.9.0.160.12-ENG), jeung 17.1.0-17.1.3 (dilereskeun dina Hotfix-BIGIP 17.1.3.5.0.41.14-ENG); BIG-IP Next, F5 Distributed Cloud, NGINX, jeung F5OS henteu kapangaruhan (naséhat F5 K000162605).
CISA nambahan kalemahan kana katalog KEV-na dina 22 Séptémber, masihan agénsi sipil fédéral dugi ka 25 Séptémber pikeun ngaréspon (BOD 26-04, tilu poé ti kadaptar). Ieu tunduk kana triase forénsik, jeung catetan KEV CISA ngarahkeun operator nerapkeun iRule anu disayagakeun ku vendor minangka mitigasi samentawis, tuluy masang tambalan ahir sagancangna. F5 ogé nawiskeun mitigasi iRule pikeun virtual server anu katarajang, anu sayaga ngaliwatan rojongan F5. Pikeun peunteun kompromi, F5 medalkeun tilu indikasi kompromi, anu naséhat CERT-EU (2026-013) atur jadi ulasan opat léngkah: kagagalan auténtikasi OAuth anu malikan (invalid_token) dina /var/log/apm, naékna total_failed anu teu tiasa dijelaskeun ngaliwatan tmctl global_oauth_stat, paréntah curiga dina /var/log/audit di sabudeureun cap waktos éta, jeung loop TMM anu ngajadikeun daemon SOD ngirim SIGABRT (ayanna berkas inti TMM nyalira lain indikasi) — kombinasi jeung frékuénsi ieu anu pakait jeung serangan (numutkeun The Hacker News, katalog KEV CISA, jeung CERT-EU).
Analisis (dipisahkeun tina fakta): anu pantes diperhatoskeun kirang CVE tunggal tibatan susunan opat éntri anu dugi ka katalog KEV dina 22 Séptémber: cacad F5 BIG-IP APM ieu, ditambah Arista VeloCloud Orchestrator (CVE-2026-93952) jeung dua cacad server manajemén Check Point (CVE-2026-93616 / CVE-2026-85102). Benang umumna nyaéta «widang manajemén jeung idéntitas» fungsi jaringan anu disebarkeun nyaéta targét. Pekan kamari observatorium ieu nutupan bypass auténtikasi API manajemén Cisco ISE (CVE-2026-76460) jeung masalah yén log pakakas anu dikompromi sorangan henteu deui jadi sumber utama. Kasus ieu ngamajukeun sahiji léngkah: tempat APM dianggo minangka server otorisasi OAuth, pakakas sorangan sacara éféktif nyaéta pamedal idéntitas, jeung RCE tanpa auténtikasi dina widang datana mawa harti néwak pamedal sorangan. Fakta yén F5 manggihan cacad ti jero nunjukkeun jandela éksploitasi sepi di alam liar saméméh pangungkab; atribusi pihak anu ngéksploitasi acan umum.
Implikasi pertahanan: (1) Upami anjeun ngajalankeun BIG-IP APM minangka server otorisasi OAuth, terapkeun hotfix anu cocog (atanapi rilis salajengna dina cabang anu sami) heula. Panyebaran anu nganggo APM ketat minangka client / resource server aya di luar lingkup, nanging konfigurasi hibrida anu ngawengku profil server otorisasi peryogi inventaris per virtual server. (2) Di mana mitigasi iRule dipasang saméméh ditambal, catet minangka mitigasi — numutkeun catetan CISA, minangka samentawis anu kedah dipasangkeun jeung tambalan ahir. (3) Jalankeun detéksi opat tahap CERT-EU (pangulangan kagagalan OAuth, total_failed, log audit, inti TMM) dina pakakas sorangan, jeung ogé témpo riwayat firewall / NetFlow pikeun trafik ka APM, kalayan premis log pakakas sorangan tiasa henteu deui jadi sumber utama. (4) Kalayan lénsa anu sami, inventaris paparan aset «widang manajemén jeung idéntitas» — kaasup Arista VCO jeung server manajemén Check Point — babarengan jeung tambalan per CVE. Fakta di dieu dicokot tina naséhat F5 (https://my.f5.com/manage/s/article/K000162605), katalog KEV CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), catetan CVE NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-94127), naséhat CERT-EU 2026-013 (https://cert.europa.eu/publications/security-advisories/2026-013/), The Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html), jeung SecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/). Analisis dijaga papisah tina laporan.