F5 BIG-IP APM: سرریز هیپ بدون احراز هویت به RCE (CVE-2026-94127) و ورود به CISA KEV

۲۲ سپتامبر ۲۰۲۶ F5 برای CVE-2026-94127 advisory داد و همان روز CISA آن را به کاتالوگ KEV برد. Rapid7 امتیاز را ۹٫۸ (CVSS v3.1) نوشته: heap-based buffer overflow در Access Policy Manager که با ترافیک ساخته‌شده، بدون لاگین، به remote code execution روی appliance می‌رسد.

پیکربندی پیش‌فرض آسیب‌پذیر نیست. شرط F5 این است که روی همان virtual server هم APM access policy باشد و هم پروفایل OAuth authorization server — یعنی دستگاهی که خودش token صادر می‌کند، نه فقط OAuth client یا resource server. باگ روی data plane (TMM) است؛ control plane جداست، ولی Appliance mode هم در امان نیست. زنجیرهٔ تشخیصی که F5 توصیف کرده نزدیک هم می‌آید: شکست‌های پیاپی OAuth، بعد دستور مشکوک، بعد crash خود TMM.

hotfix، نه «صبر تا ریلیز بعدی»

شاخه‌های درگیر و اولین بیلد امن (طبق Cyber Centre کانادا و Rapid7):

جزئیات در K000162605. اگر hotfix همین الان نمی‌نشیند، F5 یک iRule کاهنده می‌دهد؛ فقط از Support قابل دریافت است. CISA به آژانس‌های فدرال گفته اول iRule برای forensic triage، بعد پچ نهایی — مهلت اعلام‌شده حدود ۲۵ سپتامبر.

PoC عمومی در زمان افشا تأیید نشده، ولی F5 exploitation در طبیعت را صریح اعلام کرده. اول virtual serverهایی را پیدا کنید که APM و OAuth AS روی یک VS نشسته‌اند (tmsh و مسیر Access → Federation → OAuth Authorization Server)، لاگ OAuth و حساب‌های ادمین را مرور کنید، بعد hotfix یا iRule را بدون تأخیر بگذارید. لبهٔ شبکه با RCE احرازنشده جایی برای صف Patch Tuesday نیست.