شرکت F5 به‌روزرسانی‌های امنیتی جدیدی را برای رفع یک آسیب‌پذیری بحرانی زیرو دِی (Zero-Day) در محصول BIG-IP APM منتشر کرد. این نقص امنیتی در حال حاضر توسط مهاجمان برای اجرای کد از راه دور یا RCE مورد استفاده قرار می‌گیرد.
جزئیات فنی و دامنه اثرگذاری
محصول BIG-IP APM (مخفف Access Policy Manager) یک راهکار پروکسی مدیریت دسترسی متمرکز است که برای ایمن‌سازی دسترسی به شبکه‌ها، اپلیکیشن‌ها، محیط‌های ابری و رابط‌های برنامه‌نویسی (APIs) استفاده می‌شود.
این آسیب‌پذیری با شناسه CVE-2026-94127 ردیابی می‌شود و سیستم‌هایی را تحت تأثیر قرار می‌دهد که به عنوان یک OAuth Authorization Server پیکربندی شده‌اند و دارای یک سیاست دسترسی APM و یک پروفایل OAuth روی سرور مجازی (Virtual Server) هستند.
علائم نفوذ و اقدامات پیشگیرانه
شرکت F5 هشدار داده است که این نقص امنیتی در محیط‌های واقعی اکسپلویت شده است. مدیران شبکه باید سیستم‌های خود را برای شناسایی Indicators of Compromise (IoC) بررسی کنند. ترکیب موارد زیر می‌تواند نشان‌دهنده تلاش برای نفوذ باشد:
- تعداد زیاد شکست‌های احراز هویت OAuth
- اجرای دستورات مشکوک
- وقوع خطای TMM SIGABRT بلافاصله پس از موارد فوق
برای سازمان‌هایی که قادر به نصب فوری به‌روزرسانی‌ها نیستند، F5 توصیه کرده است که از یک iRule مخصوص (که از طریق پشتیبانی F5 قابل دریافت است) روی سرورهای مجازی آسیب‌پذیر استفاده کنند تا اثرات این نقص کاهش یابد.
تحلیل سطح تهدید
سازمان غیرانتفاعی Shadowserver بیش از ۱۴,۷۰۰ آدرس IP با اثر انگشت (Fingerprint) مربوط به BIG-IP APM شناسایی کرده است که نشان‌دهنده سطح گسترده معرض بودن این سرویس در اینترنت است. همچنین، سازمان CISA این آسیب‌پذیری را به فهرست Known Exploited Vulnerabilities (KEV) اضافه کرده و به سازمان‌های فدرال دستور داده است تا سریعاً اقدام به ایمن‌سازی شبکه‌های خود کنند.
در سال‌های اخیر، گروه‌های عامل تهدید (Threat Actor) وابسته به دولت‌ها و باندهای جرایم سایبری به‌طور گسترده از نقاط ضعف محصولات F5 برای نفوذ به شبکه‌های سازمانی، سرقت اسناد حساس و استقرار بدافزارهای پاک‌کننده داده‌ها استفاده کرده‌اند.
