وہ ہفتہ جب شناخت جاری کرنے والا خود گرا — F5 BIG-IP APM OAuth زیرو ڈے (CVE-2026-94127) اور مینجمنٹ و شناخت پلین پر KEV کا ارتکاز
F5 نے 22 ستمبر کو انکشاف کیا کہ BIG-IP APM کے OAuth راستے میں ایک سنگین زیرو ڈے (CVE-2026-94127, CVSS 9.8) غیر تصدیق شدہ ریموٹ کوڈ ایگزیکیوشن کی اجازت دیتا ہے، اور حقیقی ماحول میں استحصال کی تصدیق کی۔ CISA نے اسی دن اسے KEV کیٹلاگ میں شامل کیا، وفاقی میعاد 25 ستمبر۔ Arista VCO اور Check Point کے 2 مینجمنٹ سرور نقائص بھی اسی دن KEV میں آئے — ہم سرحدی آلات کے مینجمنٹ اور شناخت پلین پر حملوں کے اجتماع کا جائزہ لیتے ہیں۔
یہ مضمون مشین سے ترجمہ کیا گیا ہے۔
22 ستمبر 2026 کو F5 نے BIG-IP Access Policy Manager (APM) میں CVE-2026-94127 (اندرونی ID 2524777) کا انکشاف کیا۔ جب کسی ورچوئل سرور پر APM ایکسیس پالیسی اور ایک OAuth پروفائل ترتیب دیے ہوں، تو مخصوص بدنیتی والا ٹریفک ریموٹ کوڈ ایگزیکیوشن (RCE) تک لے جا سکتا ہے — ایک ہیپ پر مبنی بفر اوورفلو (CWE-122) — جس کا CVSS v3.1 اسکور 9.8 ہے (جیسا F5 نے رپورٹ کیا) اور CVSS v4.0 کا 9.3 (جیسا F5 نے NVD کے ذریعے رپورٹ کیا)۔ نقص ان تعیناتیوں تک محدود ہے جہاں BIG-IP APM کو OAuth Authorization Server کے طور پر ترتیب دیا گیا ہے؛ جو تعیناتیاں APM کو سختی سے Client / Resource Server کے طور پر استعمال کرتی ہیں وہ متاثر نہیں۔ F5 کہتا ہے کہ وہ 'جانتا ہے کہ اس کمزوری کا استحصال ہوا ہے' اور نوٹ کرتا ہے کہ نقص اندرونی طور پر دریافت ہوا۔ یہ ڈیٹا پلین کا مسئلہ ہے، کنٹرول پلین ایکسپوژر کے بغیر، اور Appliance موڈ میں BIG-IP بھی غیر محفوظ ہے۔ متاثرہ ریلیز ہیں 21.1.0 (Hotfix-BIGIP-21.1.0.2.0.30.22-ENG میں درست)، 17.5.0-17.5.1 (Hotfix-BIGIP-17.5.1.9.0.160.12-ENG میں درست)، اور 17.1.0-17.1.3 (Hotfix-BIGIP 17.1.3.5.0.41.14-ENG میں درست)؛ BIG-IP Next، F5 Distributed Cloud، NGINX، اور F5OS متاثر نہیں (F5 مشورہ K000162605)۔
CISA نے 22 ستمبر کو اس کمزوری کو اپنے KEV کیٹلاگ میں شامل کیا، اور وفاقی شہری ایجنسیوں کو جواب کے لیے 25 ستمبر تک مہلت دی (BOD 26-04، فہرست میں آنے سے 3 دن)۔ یہ فرانزک ٹرائیج کے تابع ہے، اور CISA کے KEV نوٹ آپریٹرز کو ہدایت کرتے ہیں کہ فروش کا دیا ہوا iRule عارضی تخفیف کے طور پر لگائیں، پھر حتمی پیچ جلد از جلد نصب کریں۔ F5 بھی متاثرہ ورچوئل سرور کے لیے iRule تخفیف دیتا ہے، جو F5 سپورٹ کے ذریعے دستیاب ہے۔ سمجھوتے کی تشخیص کے لیے F5 نے 3 سمجھوتے کے اشارے شائع کیے، جنہیں CERT-EU کا مشورہ (2026-013) 4 مرحلوں کے جائزے میں ترتیب دیتا ہے: /var/log/apm میں بار بار OAuth تصدیق کی ناکامیاں (invalid_token)، tmctl global_oauth_stat کے ذریعے total_failed میں غیر واضح اضافہ، ان ٹائم اسٹیمپ کے آس پاس /var/log/audit میں مشکوک کمانڈز، اور وہ TMM لوپ جو SOD ڈیمن سے SIGABRT بھجواتا ہے (اکیلے TMM کور فائل کی موجودگی اشارہ نہیں) — حملے سے تعلق انہی کے مجموعے اور تکرار کا ہے (The Hacker News، CISA کے KEV کیٹلاگ، اور CERT-EU کے مطابق)۔
تجزیہ (حقائق سے الگ): توجہ کے لائق بات واحد CVE سے کم ان 4 اندراجات کی ترکیب ہے جو 22 ستمبر کو KEV کیٹلاگ میں اترے: یہ F5 BIG-IP APM نقص، ساتھ Arista VeloCloud Orchestrator (CVE-2026-93952) اور Check Point کے 2 مینجمنٹ سرور نقائص (CVE-2026-93616 / CVE-2026-85102)۔ ان کا مشترکہ دھاگہ یہ ہے کہ تقسیم شدہ نیٹ ورک فنکشنز کے 'مینجمنٹ اور شناخت پلین' نشانے ہیں۔ پچھلے ہفتے اس آبزرویٹری نے Cisco ISE مینجمنٹ-API تصدیق بائی پاس (CVE-2026-76460) کو کور کیا تھا اور یہ مسئلہ کہ سمجھوتہ شدہ آلے کے اپنے لاگ اب بنیادی ماخذ نہیں رہتے۔ یہ معاملہ اسے ایک قدم آگے لے جاتا ہے: جہاں APM کو OAuth اجازت سرور کے طور پر استعمال کیا جاتا ہے، آلہ خود مؤثر طور پر شناخت جاری کرنے والا ہے، اور اس کے ڈیٹا پلین پر غیر تصدیق شدہ RCE جاری کنندہ کو خود گرفت میں لینے کا مطلب رکھتا ہے۔ یہ حقیقت کہ F5 نے نقص اندرونی طور پر دریافت کیا، انکشاف سے پہلے حقیقی ماحول میں خاموش استحصال کی کھڑکی کا اشارہ دیتی ہے؛ استحصال کرنے والے فریق کی نسبت ابھی عوامی نہیں۔
دفاعی مضمرات: (1) اگر آپ BIG-IP APM کو OAuth اجازت سرور کے طور پر چلاتے ہیں، تو مماثل ہاٹ فکس (یا اسی شاخ پر بعد کی ریلیز) پہلے لگائیں۔ APM کو سختی سے کلائنٹ / ریسورس سرور کے طور پر استعمال کرنے والی تعیناتیاں دائرے سے باہر ہیں، مگر جن ہائبرڈ ترتیبوں میں اجازت سرور پروفائل شامل ہے انہیں فی ورچوئل سرور فہرست درکار ہے۔ (2) جہاں پیچ سے پہلے iRule تخفیف لگائی جائے، اسے تخفیف کے طور پر درج کریں — CISA کے نوٹ کے مطابق، حتمی پیچ کے ساتھ جوڑی جانے والی عارضی تدبیر۔ (3) آلے پر ہی CERT-EU کی 4 مرحلوں کی شناخت چلائیں (OAuth ناکامی کی تکرار، total_failed، آڈٹ لاگ، TMM کور)، اور APM کی طرف ٹریفک کے لیے فائر وال / NetFlow تاریخ کا جائزہ لیں، اس بنیاد پر کہ آلے کے اپنے لاگ اب بنیادی ماخذ نہ رہیں۔ (4) اسی نظر سے، 'مینجمنٹ اور شناخت پلین' اثاثوں کے ایکسپوژر کی فہرست بنائیں — Arista VCO اور Check Point مینجمنٹ سرور سمیت — فی CVE پیچنگ کے ساتھ۔ یہاں کے حقائق F5 کے مشورے (https://my.f5.com/manage/s/article/K000162605)، CISA KEV کیٹلاگ (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)، NVD CVE ریکارڈ (https://nvd.nist.gov/vuln/detail/CVE-2026-94127)، CERT-EU مشورہ 2026-013 (https://cert.europa.eu/publications/security-advisories/2026-013/)، The Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html)، اور SecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/) پر مبنی ہیں۔ تجزیے کو رپورٹنگ سے الگ رکھا گیا ہے۔