F5 BIG-IP APM CVE-2026-94127: CISA KEV — แพตช์ก่อน 25 ก.ย.

ดูแล F5 BIG-IP ที่เปิด Access Policy Manager (APM) อยู่ไหมครับ — เมื่อ 22 ก.ย. 2026 F5 และ CISA เตือนว่า CVE-2026-94127 (คะแนน CVSS 9.8) ถูกใช้โจมตีจริงแล้ว

จากSecurityWeek และศูนย์ไซเบอร์แคนาดา:

• เป็นช่องโหว่ remote code execution (RCE) บน data plane — ไม่ต้องล็อกอินเมื่อมีเงื่อนไขครบ
• เงื่อนไขสำคัญ: มี APM access policy และโปรไฟล์ OAuth บน virtual server และ APM ถูกตั้งเป็น OAuth Authorization Server (ไม่ใช่ฝั่ง Client/Resource Server)
• เวอร์ชันที่กระทบตามแถลง: 21.1.0, 17.5.0–17.5.1, 17.1.0–17.1.3 — F5 ออก hotfix แล้ว
• CISA ใส่ในรายการ Known Exploited Vulnerabilities (KEV) — หน่วยงานสหรัฐฯ ตาม BOD ต้องแพตช์ภายใน 25 ก.ย. 2026
• แบตช์ KEV ชุดใกล้เคียงยังมี Check Point / Arista VeloCloud — บล็อกนี้โฟกัส F5 เพราะเป็นเส้นตายใกล้สุดและยังไม่มีโพสต์แยกบนบล็อกนี้

สิ่งที่ทีม ops ทำได้ทันที (ไม่อธิบายวิธีโจมตี): เช็กว่า virtual server ของคุณเปิด APM+OAuth AS หรือไม่ → ติดตั้ง hotfix จาก advisory ของ F5 → ดูล็อกตามที่ผู้ขายแนะนำถ้าสงสัยถูกสแกน

Recap

• อ่านสรุปจากSecurityWeek และ advisory F5 / CISA
• ตรวจว่า BIG-IP ของคุณอยู่ในเวอร์ชันและโหมด OAuth AS ที่กระทบหรือไม่
• ติดตั้ง hotfix ก่อนเส้นตาย 25 ก.ย. 2026 (โดยเฉพาะระบบที่เปิดออกอินเทอร์เน็ต)
• แจ้งทีม SOC ให้เฝ้าสัญญาณผิดปกติบน APM ตาม IoC ที่ F5 เผยแพร่