تجهیزی که قرار است دروازهٔ امن ورود کاربران به برنامه‌های سازمان باشد، این هفته خودش به دروازهٔ ورود مهاجمان تبدیل شد. شرکت F5 روز ۲۲ سپتامبر ۲۰۲۶ در توصیه‌نامهٔ K000162605 اعلام کرد نقص CVE-2026-94127 در ماژول BIG-IP APM (مدیریت دسترسی) با امتیاز CVSS 9.8 در دنیای واقعی مورد سوءاستفاده قرار گرفته است. همان روز آژانس امنیت سایبری آمریکا (CISA) این نقص را به فهرست آسیب‌پذیری‌های در حال بهره‌برداری (KEV) افزود. مهاجم برای سوءاستفاده به هیچ نام‌کاربری، رمز یا تعامل کاربر نیاز ندارد.
🚨 مشکل دقیقاً کجاست؟
این نقص از نوع سرریز بافر در Heap (CWE-122) است و فقط وقتی فعال می‌شود که روی یک virtual server هم‌زمان یک Access Policy از APM و یک پروفایل OAuth (نقش سرور مجوزدهی OAuth) تنظیم شده باشد. در این پیکربندی، ترافیک شبکه‌ای دست‌ساز می‌تواند حافظه را خراب کند و به اجرای کد دلخواه روی خود BIG-IP برسد. نکتهٔ مهم این است که مشکل در صفحهٔ داده (data plane) است، نه رابط مدیریت؛ یعنی جداکردن پورت مدیریتی از اینترنت — که توصیهٔ همیشگی است — این بار کافی نیست، چون مسیر حمله همان ترافیکی است که کاربران برای ورود به برنامه‌ها می‌فرستند.
🔍 کدام نسخه‌ها آسیب‌پذیرند؟
- BIG-IP APM 21.1.0
- BIG-IP APM 17.5.0 تا 17.5.1
- BIG-IP APM 17.1.0 تا 17.1.3
به گفتهٔ F5 سایر ماژول‌های BIG-IP، BIG-IQ، BIG-IP Next، سرویس‌های F5 Distributed Cloud، محصولات NGINX و F5OS تحت تأثیر نیستند. F5 خود این نقص را کشف کرده و هنوز اطلاعاتی دربارهٔ هویت مهاجمان یا گستردگی حملات منتشر نشده است.
بر اساس گزارش DBIR 2025 شرکت Verizon، سهم تجهیزات لبهٔ شبکه و VPNها از اهداف بهره‌برداری آسیب‌پذیری به ۲۲ درصد رسیده است؛ تقریباً هشت برابر سال قبل که حدود ۳ درصد بود. تجهیزاتی که جلوی شبکه می‌ایستند، حالا محبوب‌ترین هدف مهاجمان‌اند.
🛠️ همین امروز چه باید کرد؟
- فهرست‌برداری کنید: همهٔ virtual serverهایی را که هم‌زمان Access Policy و پروفایل OAuth دارند پیدا کنید؛ فقط همین ترکیب در معرض خطر است.
- هات‌فیکس نصب کنید: F5 هات‌فیکس‌های مهندسی را برای هر سه شاخه منتشر کرده است: 21.1.0.2.0.30.22، 17.5.1.9.0.160.12 و 17.1.3.5.0.41.14.
- اگر وصلهٔ فوری ممکن نیست: iRule موقتی را که پشتیبانی F5 ارائه می‌دهد اعمال کنید و دسترسی به این virtual serverها را به شبکه‌های مبدأ مورد اعتماد محدود کنید.
- شکار تهدید کنید: سه نشانه را کنار هم ببینید: خطاهای مکرر احراز هویت OAuth، اجرای فرمان مشکوک روی تجهیز و رخداد SIGABRT در TMM. ده پیام invalid token یا بیشتر از یک IP در
/var/log/apmو فایل‌های core مربوط به TMM هم زنگ خطرند. - اگر نشانهٔ نفوذ دیدید، وصله کافی نیست: تجهیز را به‌عنوان سیستم آلوده در نظر بگیرید، اعتبارنامه‌ها و کلیدهای ذخیره‌شده روی آن را عوض کنید و فرایند کامل پاسخ به حادثه را اجرا کنید.
⚠️ تنها نبود؛ یک روز، چهار نقص در KEV
CISA در همان به‌روزرسانی ۲۲ سپتامبر سه نقص دیگر را هم به فهرست KEV اضافه کرد: دو نقص در محصولات مدیریتی Check Point (CVE-2026-85102 و CVE-2026-93616) و یک نقص در Arista VeloCloud Orchestrator (CVE-2026-93952). وجه مشترک هر چهار مورد روشن است: همه در تجهیزات یا کنسول‌هایی هستند که کنترل ترافیک و دسترسی سازمان را در دست دارند.
🧭 درس بزرگ‌تر: دروازه‌بان را هم باید پایید
یکی از همکاران ما همیشه می‌گوید سخت‌ترین قسمت چنین هشدارهایی وصله‌کردن نیست، دانستن این است که کدام پیکربندی کجا فعال است. در خیلی از سازمان‌ها پروفایل OAuth سال‌ها پیش برای یک پروژهٔ یکپارچه‌سازی روشن شده و کسی به خاطر ندارد. پایش مداوم دارایی و آسیب‌پذیری کمک می‌کند نسخه و پیکربندی تجهیزات لبه همیشه روشن باشد، و ارسال لاگ‌های تجهیز به یک سامانهٔ همبستگی رخداد همان الگوی سه‌گانهٔ خطای OAuth، فرمان مشکوک و کرش TMM را خودکار شکار می‌کند. اگر از دروازهٔ دسترسی امن برنامه‌ها استفاده می‌کنید و برای بررسی پیکربندی، نصب هات‌فیکس یا بازبینی لاگ‌ها کمک می‌خواهید، با کارشناسان ما در تماس باشید.
دیدگاهتان را بنویسید