สรุปสั้น
บริษัท F5 ระบุว่ามีผู้โจมตีกำลังใช้ช่องโหว่ร้ายแรงใน F5 BIG-IP Access Policy Manager (APM) เพื่อรันโค้ดบนระบบ BIG-IP โดยไม่ต้องล็อกอิน ช่องโหว่ถูกติดตามในรหัส CVE-2026-94127 และกระทบเฉพาะระบบที่ตั้งค่า APM ให้ทำหน้าที่เป็นเซิร์ฟเวอร์อนุมัติสิทธิ์ OAuth ที่ออก access token ให้แอปพลิเคชัน บริษัท F5 เปิดเผยผ่านคำแนะนำเมื่อวันที่ 22 กันยายนและได้ปล่อย engineering hotfix ออกมาแล้ว ช่องโหว่นี้เป็นแบบ heap-based buffer overflow ซึ่ง F5 ให้คะแนน 9.8 จาก 10 บน CVSS v3.1 และ 9.3 บน CVSS v4.0 จุดที่ทำให้ป้องกันยากคือ เนื่องจากทราฟฟิกอันตรายถูกส่งไปที่ virtual server โดยตรง การจำกัดการเข้าถึงหน้าจัดการของ BIG-IP จึงไม่ช่วยป้องกันช่องโหว่นี้ และระบบ BIG-IP ที่อยู่ในโหมด Appliance ก็ได้รับผลกระทบเช่นกัน หน่วยงาน CISA ได้เพิ่มช่องโหว่นี้เข้าแคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริง (KEV) เมื่อวันที่ 22 กันยายน
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 23 กันยายน พ.ศ. 2569 ว่า มีผู้โจมตีกำลังใช้ช่องโหว่ร้ายแรงใน F5 BIG-IP APM เพื่อรันโค้ดโดยไม่ต้องยืนยันตัวตน ตามที่บริษัท F5 ออกมาเตือน
APM คือโมดูลของ BIG-IP ที่ควบคุมวิธีที่ผู้ใช้เข้าถึงแอปพลิเคชันและเครือข่ายขององค์กร การตั้งค่าที่มีช่องโหว่คือการมีนโยบายการเข้าถึงของ APM และโปรไฟล์เซิร์ฟเวอร์อนุมัติสิทธิ์ OAuth อยู่บน virtual server ตัวเดียวกัน ซึ่งเป็นตัวโฮสต์ที่อยู่ BIG-IP ที่รับทราฟฟิก OAuth ทราฟฟิกอันตรายที่ถูกส่งไปยัง virtual server นั้นสามารถนำไปสู่การรันโค้ดจากระยะไกลได้ ช่องโหว่นี้เป็น heap-based buffer overflow ที่ F5 ให้คะแนน 9.8 บน CVSS v3.1
เนื่องจากทราฟฟิกอันตรายวิ่งไปที่ตัว virtual server เอง การจำกัดการเข้าถึงหน้าจัดการของ BIG-IP จึงไม่ช่วยป้องกันช่องโหว่นี้ และระบบ BIG-IP ที่อยู่ในโหมด Appliance ก็มีช่องโหว่ด้วย หน่วยงาน CISA ได้เพิ่มช่องโหว่นี้เข้าแคตตาล็อก KEV เมื่อวันที่ 22 กันยายน และให้เวลาหน่วยงานพลเรือนของรัฐบาลกลางถึงวันที่ 25 กันยายนในการใช้มาตรการบรรเทาของ F5 ตามคำสั่งที่ CISA ออกไว้เมื่อเดือนมิถุนายน ทั้งนี้บันทึก CVE ของ F5 และรายการ KEV ของ CISA ไม่ได้ระบุว่ามีระบบถูกโจมตีจำนวนเท่าใด ใครเป็นผู้โจมตี หรือองค์กรใดตกเป็นเป้าหมาย
รายละเอียดช่องโหว่และเวอร์ชันที่ได้รับผลกระทบ
สำหรับระบบที่ APM ทำหน้าที่เป็นเซิร์ฟเวอร์อนุมัติสิทธิ์ OAuth เวอร์ชันที่ได้รับผลกระทบและ hotfix ของแต่ละสายมีดังนี้ สาย 21.1 กระทบเวอร์ชัน 21.1.0 ก่อน hotfix แก้ด้วย Hotfix-BIGIP-21.1.0.2.0.30.22-ENG, สาย 17.5 กระทบเวอร์ชัน 17.5.0 ถึง 17.5.1 ก่อน hotfix แก้ด้วย Hotfix-BIGIP-17.5.1.9.0.160.12-ENG และสาย 17.1 กระทบเวอร์ชัน 17.1.0 ถึง 17.1.3 ก่อน hotfix แก้ด้วย Hotfix-BIGIP-17.1.3.5.0.41.14-ENG ส่วนระบบที่ใช้ APM เป็นเพียง OAuth client หรือ resource server โดยไม่มีโปรไฟล์เซิร์ฟเวอร์อนุมัติสิทธิ์ OAuth จะไม่ได้รับผลกระทบ
F5 ได้อัปเดตบันทึก CVE เมื่อเวลา 00:45 UTC ของวันที่ 23 กันยายน โดยระบุว่าช่องโหว่มีเฉพาะในบทบาทเซิร์ฟเวอร์อนุมัติสิทธิ์เท่านั้น ขณะที่รายการ KEV ของ CISA และคำแนะนำจาก CERT-EU ซึ่งเป็นบริการความมั่นคงไซเบอร์ของสถาบันสหภาพยุโรป ถูกเผยแพร่ก่อนการเปลี่ยนแปลงนั้น ทั้งสองจึงอธิบายเงื่อนไขไว้กว้างกว่า คือเป็นนโยบายการเข้าถึงและโปรไฟล์ OAuth บน virtual server อนึ่ง ยังมีช่องโหว่ APM อีกตัว CVE-2025-53521 ที่ถูกเพิ่มเข้าแคตตาล็อก KEV เมื่อเดือนมีนาคม ซึ่งการแก้ไขสำหรับสาย 17.1 และ 17.5 (คือ 17.1.3 และ 17.5.1.3) ตกอยู่ในช่วงเวอร์ชันที่ได้รับผลกระทบข้างต้น ดังนั้นระบบที่อัปเดตไปเป็นบิลด์ใดบิลด์หนึ่งก็ยังต้องการ hotfix ใหม่หาก APM ทำหน้าที่เป็นเซิร์ฟเวอร์อนุมัติสิทธิ์ OAuth
ผลกระทบ
ช่องโหว่นี้กระทบองค์กรที่วาง F5 BIG-IP APM ไว้ที่ขอบเครือข่ายเพื่อควบคุมการเข้าถึงแอปพลิเคชัน และตั้งค่าให้ทำหน้าที่เป็นเซิร์ฟเวอร์อนุมัติสิทธิ์ OAuth ซึ่งเป็นอุปกรณ์ที่มักเปิดรับทราฟฟิกจากอินเทอร์เน็ตโดยตรง จุดที่อันตรายเป็นพิเศษคือ การป้องกันด้วยการจำกัดการเข้าถึงหน้าจัดการไม่ได้ผล เพราะการโจมตีวิ่งเข้าที่ virtual server เอง และระบบในโหมด Appliance ก็ยังเสี่ยง เมื่อผู้โจมตีรันโค้ดได้โดยไม่ต้องยืนยันตัวตนบนอุปกรณ์ที่ทำหน้าที่เป็นด่านหน้าของการเข้าถึงองค์กร ก็เท่ากับได้ที่มั่นสำคัญไว้ต่อยอดเข้าสู่ระบบภายใน อุปกรณ์ตระกูล BIG-IP ถูกใช้อย่างแพร่หลายในองค์กรที่ต้องรองรับทราฟฟิกสูงและงานควบคุมการเข้าถึง เช่น สถาบันการเงิน ผู้ให้บริการโทรคมนาคม และหน่วยงานรัฐ การที่ช่องโหว่ถูกใช้โจมตีจริงแล้วและ CISA กำหนดเส้นตายแก้ไขที่กระชั้น สะท้อนว่าความเสี่ยงอยู่ในระดับที่ต้องรีบจัดการทันที
คำแนะนำ
วิธีแก้ของ F5 คือ engineering hotfix ที่ระบุไว้สำหรับแต่ละสายเวอร์ชัน เมื่อไม่สามารถติดตั้ง hotfix ได้ทันที F5 มีมาตรการบรรเทาแบบ iRule สำหรับ virtual server ที่ได้รับผลกระทบ ซึ่งลูกค้าขอรับได้โดยเปิดเคสกับฝ่ายสนับสนุนของ F5 ทาง CERT-EU แนะนำให้เก็บรักษาหลักฐานทางนิติวิทยาก่อน แล้วจึงติดตั้ง hotfix ตรวจหาสัญญาณการถูกเจาะ และเริ่มกระบวนการตอบสนองเหตุหากพบร่องรอย ขณะที่ CISA สั่งให้หน่วยงานใช้ iRule ก่อน “เพื่อเปิดทางให้ทำการคัดกรองทางนิติวิทยาเชิงรุก” แล้วจึง “ติดตั้งแพตช์ตัวจริงจากผู้ผลิตโดยเร็วที่สุด”
สำหรับการตรวจหาการถูกเจาะ F5 ระบุสัญญาณที่ควรนำไปสู่การให้คนเข้าไปตรวจสอบระบบ คือ คำขอ UserInfo ที่ล้มเหลวซ้ำ ๆ ใน /var/log/apm พร้อมข้อความ “The access token is invalid” โดยเฉพาะเมื่อมี 10 คำขอขึ้นไปจาก IP เดียวภายในเวลาสั้น ๆ ตามด้วยค่าตัวนับ total_failed ที่เพิ่มขึ้นผิดปกติเมื่อรัน tmctl global_oauth_stat, คำสั่งต้องสงสัยในบันทึกตรวจสอบ /var/log/audit ในช่วงเวลาเดียวกัน และไฟล์ core ของ TMM ที่เกิด SIGABRT หลังจากนั้นไม่นาน การพบทั้งชุดต่อเนื่องกันคือสัญญาณที่ควรให้คนตรวจสอบทันที
Indicators of Compromise (IoCs)
| ประเภท | Indicator | หมายเหตุ |
|---|---|---|
| Log | คำขอ UserInfo ล้มเหลวซ้ำใน /var/log/apm | ข้อความ “The access token is invalid” — เฝ้าระวัง ≥10 คำขอจาก IP เดียวในเวลาสั้น |
| ตัวนับ OAuth | total_failed เพิ่มผิดปกติ | ตรวจด้วย tmctl global_oauth_stat -s total_requests,total_userinfo_requests,total_failed |
| Audit log | คำสั่งต้องสงสัยใน /var/log/audit | เกิดในช่วงเวลาเดียวกับคำขอที่ล้มเหลว |
| TMM core | ไฟล์ core จาก SIGABRT | ไม่ใช่สัญญาณเดี่ยว แต่ควรตรวจเมื่อพบร่วมกับข้างต้น |