هجوم نشط على جهاز المصادقة لدى F5… والسهم يرتفع 75% رغم ذلك

أبلغت شركة F5 عملاءها في 22 سبتمبر بأن مهاجمين يستغلون ثغرة في جهاز تسجيل الدخول الرئيس لديها↗. والثغرة، المسجّلة برقم CVE-2026-94127، هي تجاوز للمخزن المؤقت القائم على الكومة (Heap-Based Buffer Overflow) في BIG-IP APM عندما يعمل بوصفه خادم تخويل OAuth، وتمنح المهاجم من دون مصادقة إمكانية تنفيذ التعليمات البرمجية عن بُعد، وتحمل درجة خطورة 9.8 على مقياس CVSS في إصداره 3.1 ¹². وفي اليوم نفسه، أدرجت وكالة CISA الثغرة على قائمة الثغرات المستغَلَّة المعروفة↗ ومنحت الوكالات الفيدرالية مهلة حتى يوم الجمعة، فيما يوجب التوجيه التشغيلي الملزم BOD 26-04 إجراء فرز جنائي رقمي ³.

الثغرة تكمن في الجهاز الذي يفحص كل عملية تسجيل دخول

APM هو الوكيل المركزي الذي يؤمّن الوصول إلى شبكات المؤسسات وتطبيقاتها وخدماتها السحابية وواجهات البرمجة (APIs)↗ ⁴. والإصدارات المعرضة للخطر هي 21.1.0، و17.5.0 إلى 17.5.1، و17.1.0 إلى 17.1.3، بما في ذلك وضع الجهاز (Appliance Mode)، وذلك عبر مستوى البيانات (Data Plane). وقد عثرت F5 على الخلل داخلياً وأصدرت إصلاحات عاجلة، مع قاعدة iRule للتخفيف لمن يتأخر في الترقيع ¹. ويحصي Shadowserver أكثر من 14,700 عنوان APM متاح عبر الإنترنت، من دون أن يستطيع تحديد أيها مرقّع وأيها مجرّد مصائد «هانيبوت» (Honeypots) ⁴. أما البصمة الدالة على الهجوم فهي إخفاقات متكررة في OAuth، تليها أوامر مشبوهة، ثم انهيار في نظام إدارة حركة البيانات↗ ¹. من يدفع الثمن: المؤسسات والوكالات التي تقف خلف تلك العناوين، وقد دفعتها مهلة CISA إلى الترقيع والفرز الجنائي الرقمي ³⁴. ومن يقبض: حاملو العلاوة، إلى أن يُعلَن اسم ضحية.

التخفيض الوحيد في السوق كان للتوقعات

بلغت إيرادات الربع الثالث من السنة المالية 865.1 مليون دولار، بنمو 11%، فيما جاء ربح السهم المعدّل عند 4.73 دولار مقابل إجماع المحللين عند 3.98 دولار↗ ⁵.

بعد ثلاثة أيام من صدور التحذير الأمني، نسبت مذكرة استثمارية مكاسب السهم البالغة 75% منذ بداية العام إلى الطلب على أمن الذكاء الاصطناعي وتدفقات استثمارية مؤسسية↗، من دون أي إشارة إلى الثغرة ⁶. أما الحركة الهبوطية الوحيدة الموثقة خلال الأسبوع، وهي تراجع بنسبة 2.07% في تداولات ما بعد الإغلاق إلى 446.55 دولار في 24 سبتمبر↗، فقد فُسِّرت في ضوء رفع التوجيهات المالية وصقل استراتيجية أمن الذكاء الاصطناعي؛ ولم يشر ذلك التقرير بدوره إلى الثغرة (CVE) إطلاقاً ⁷.

جهة تابعة لدولة سبق أن خرجت من F5 بأسرار ثغرات يوم الصفر

قبل عام من ذلك، أفصحت F5 عن أن جهة تابعة لدولة حافظت على وصول طويل الأمد إلى بيئة تطوير منتجات BIG-IP وغادرت وفي حوزتها الشيفرة المصدرية وتفاصيل ثغرات لم يُفصَح عنها↗ ⁸، كما سمحت وزارة العدل الأمريكية للشركة بتأجيل ذلك الإفصاح↗ ⁹. وقالت F5 حينها إنها لم تكن على علم بأي ثغرات حرجة أو تتيح تنفيذ التعليمات البرمجية عن بُعد وغير مفصَح عنها ضمن الملفات المسروقة ⁸، فيما لا يربط تحذير هذا الأسبوع بين الثغرة الجديدة وتلك السرقة ¹. ولم تقل F5 كم نظاماً اخترقته الحملة الجارية ⁹. ومنذ نوفمبر 2021، نبّهت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) إلى ثماني ثغرات مستغَلَّة لدى F5، أربع منها استُخدمت في هجمات الفدية ⁴.

النمو حقيقي؛ ومخاطر الذيل غير مسعَّرة

باتت ثغرات يوم الصفر المستغَلَّة لدى موردي تقنيات الشبكات أمراً اعتيادياً الآن؛ فقد انضمّت كل من Check Point وArista إلى قائمة الثغرات المستغَلَّة المعروفة (KEV) في اليوم نفسه ³. وتحقّقت شركتا NCC Group وIOActive من فاعلية احتواء F5 بعد الاختراق، كما تأتي منصة «Falcon EDR» من CrowdStrike مدمجةً داخل BIG-IP مجاناً حتى 14 أكتوبر 2026 ⁸. ولم يسعّر أي أمر معلن هذا الأسبوع، وعلى رأسه المذكرة الاستثمارية المتفائلة بشأن أمن الذكاء الاصطناعي، حقيقة أن الخندق التنافسي وسطح الهجوم (Attack Surface) يأتيان معاً في الجهاز نفسه ⁶. أما ما يستحق الرصد فهو أمران: أسماء ضحايا قد يكشفها فرز قائمة KEV، وأداء الربع الرابع في مواجهة توجيهات إيرادات تتراوح بين 870 و890 مليون دولار ⁵.