身份签发方本身倒下的一周 —— F5 BIG-IP APM OAuth 零日（CVE-2026-94127）与 KEV 在管理面和身份面上的集中
F5 于 9 月 22 日披露，BIG-IP APM 的 OAuth 路径存在一个严重零日（CVE-2026-94127，CVSS 9.8），允许未经认证的远程代码执行，并确认已有在野利用。CISA 于同日将其列入 KEV 目录，联邦期限为 9 月 25 日。Arista VCO 与 2 个 Check Point 管理服务器缺陷也在当天进入 KEV。本文考察针对边界设备管理面与身份面的攻击如何汇合。
本文由机器翻译。
2026 年 9 月 22 日，F5 披露了 BIG-IP Access Policy Manager（APM）中的 CVE-2026-94127（内部编号 2524777）。当虚拟服务器上配置了 APM 访问策略和 OAuth 配置文件时，特定的恶意流量可导致远程代码执行（RCE）——一次基于堆的缓冲区溢出（heap-based buffer overflow，CWE-122）——CVSS v3.1 评分为 9.8（据 F5 报告），CVSS v4.0 为 9.3（据 F5 报告，经由 NVD）。该缺陷限于将 BIG-IP APM 配置为 OAuth Authorization Server 的部署；严格只把 APM 用作 Client / Resource Server 的部署不受影响。F5 表示其“已获悉此漏洞已被利用”，并注明该缺陷由内部发现。这是数据平面上的问题，没有控制平面暴露，Appliance 模式下的 BIG-IP 同样受影响。受影响的版本是 21.1.0（修复于 Hotfix-BIGIP-21.1.0.2.0.30.22-ENG）、17.5.0-17.5.1（修复于 Hotfix-BIGIP-17.5.1.9.0.160.12-ENG）和 17.1.0-17.1.3（修复于 Hotfix-BIGIP 17.1.3.5.0.41.14-ENG）；BIG-IP Next、F5 Distributed Cloud、NGINX 和 F5OS 不受影响（F5 安全通告 K000162605）。
CISA 于 9 月 22 日将该漏洞列入 KEV 目录，要求联邦民事机构在 9 月 25 日前作出响应（BOD 26-04，自列入之日起 3 天）。它属于取证分诊的对象，CISA 的 KEV 注释指示运营者先应用厂商提供的 iRule 作为临时缓解，再尽快安装最终补丁。F5 同样为受影响的虚拟服务器提供 iRule 缓解，可通过 F5 支持获取。为做失陷评估，F5 公布了 3 个失陷指标，CERT-EU 的通告（2026-013）将其整理为 4 步核查：/var/log/apm 中反复出现的 OAuth 认证失败（invalid_token）、经由 tmctl global_oauth_stat 看到的 total_failed 无法解释的上升、这些时间戳前后 /var/log/audit 中的可疑命令，以及使 SOD 守护进程发出 SIGABRT 的 TMM 循环（仅有一份 TMM 核心转储文件并不是指标）——与一次攻击相关的，是这些迹象的组合与频率（据 The Hacker News、CISA 的 KEV 目录与 CERT-EU）。
分析（与事实分开）：值得注意的，与其说是单个 CVE，不如说是 9 月 22 日进入 KEV 目录的 4 条记录合在一起的构成：这条 F5 BIG-IP APM 缺陷，加上 Arista VeloCloud Orchestrator（CVE-2026-93952），以及 2 个 Check Point 管理服务器缺陷（CVE-2026-93616 / CVE-2026-85102）。它们共同的线索是，分布式网络功能的“管理面与身份面”成了目标。上周的这篇观测讨论了 Cisco ISE 管理 API 认证绕过（CVE-2026-76460），以及一台已失陷设备自身的日志不再是一手来源这一问题。本案例又向前走了一步：在把 APM 用作 OAuth 授权服务器的地方，设备本身实际上就是身份签发方，其数据平面上一次未经认证的 RCE，带有拿下签发方本身这一层含义。F5 在内部发现该缺陷，这一事实提示在披露之前存在一段安静的在野利用窗口；实施利用一方的归因尚未公开。
防御侧启示：(1) 若将 BIG-IP APM 作为 OAuth 授权服务器运行，应首先应用对应的 hotfix（或同一分支上更晚的版本）。严格只把 APM 用作客户端 / 资源服务器的部署不在范围内，但包含授权服务器配置文件的混合配置，需要按虚拟服务器逐一盘点。(2) 若在打补丁之前部署了 iRule 缓解，应把它记为缓解——按 CISA 的注释，它是与最终补丁配套的权宜措施。(3) 在设备自身上执行 CERT-EU 的 4 阶段检测（OAuth 失败的重复、total_failed、audit 日志、TMM core），同时以设备自身的日志可能不再是一手来源为前提，复核发往 APM 的流量在防火墙 / NetFlow 中的历史。(4) 用同一视角，把“管理面与身份面”资产的暴露——包括 Arista VCO 和 Check Point 管理服务器——与逐个 CVE 的补丁一并盘点。此处事实依据 F5 的安全通告 (https://my.f5.com/manage/s/article/K000162605)、CISA KEV 目录 (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)、NVD 的 CVE 记录 (https://nvd.nist.gov/vuln/detail/CVE-2026-94127)、CERT-EU 通告 2026-013 (https://cert.europa.eu/publications/security-advisories/2026-013/)、The Hacker News (https://thehackernews.com/2026/09/f5-patches-critical-big-ip-apm-zero-day.html) 与 SecurityWeek (https://www.securityweek.com/critical-f5-big-ip-vulnerability-exploited-as-zero-day/)。分析与报道分开保留。