F5 के ऑथेंटिकेशन उपकरण पर सक्रिय हमला, फिर भी शेयर में 75% की तेजी

F5 ने 22 सितंबर को ग्राहकों को बताया कि हमलावर उसके फ्लैगशिप लॉगिन उपकरण में पाए गए छेद का फायदा उठा रहे हैं↗। CVE-2026-94127 — OAuth ऑथराइजेशन सर्वर के रूप में चलते BIG-IP APM में होने वाला हीप-आधारित बफर ओवरफ्लो — बिना किसी प्रमाणीकरण के ही हमलावर को रिमोट कोड एग्जीक्यूशन (remote code execution) की ताकत दे देता है। CVSS v3.1 पैमाने पर इसका स्कोर 9.8 है ¹²। CISA ने उसी दिन इसे ज्ञात रूप से इस्तेमाल हो चुके (known-exploited) दोषों की सूची में डाल दिया↗ और संघीय एजेंसियों को शुक्रवार तक का समय दिया; BOD 26-04 (बाइंडिंग ऑपरेटिंग डायरेक्टिव) के तहत फॉरेंसिक जांच भी अनिवार्य है ³।

छेद उसी मशीन में है जो हर लॉगिन की जांच करती है

APM वह केंद्रीय प्रॉक्सी है जो कंपनियों के नेटवर्क, एप्लिकेशन, क्लाउड सर्विस और API तक पहुंच की सुरक्षा करता है↗ ⁴। वर्जन 21.1.0, 17.5.0 से 17.5.1 और 17.1.0 से 17.1.3 तक जोखिम में हैं — एप्लायंस मोड भी इसकी चपेट में है और हमले का रास्ता डेटा प्लेन है। F5 को यह बग अपनी अंदरूनी जांच में ही मिल गया था; कंपनी ने हॉटफिक्स जारी किए और देर से पैच करने वालों के लिए एक मिटिगेशन iRule भी दिया ¹। Shadowserver ने इंटरनेट पर खुले 14,700 से ज्यादा APM पते गिने हैं, लेकिन यह नहीं बता सकता कि इनमें कितने पैच हो चुके हैं और कितने हनीपॉट हैं ⁴। हमले की पहचान इससे होती है: बार-बार OAuth फेल, फिर संदिग्ध कमांड और आखिर में ट्रैफिक-मैनेजमेंट क्रैश↗ ¹। खर्च किसका: इन पतों के पीछे की कंपनियों और एजेंसियों का, जिन्हें CISA की डेडलाइन ने पैचिंग और फॉरेंसिक जांच में झोंक दिया है ³⁴। मुनाफा किसका: प्रीमियम के धारकों का — जब तक किसी पीड़ित का नाम सामने नहीं आ जाता।

बाजार की इकलौती कटौती की वजह रही गाइडेंस

F5 की वित्त वर्ष की तीसरी तिमाही में आमदनी 865.1 मिलियन डॉलर पहुंची — 11% की बढ़ोतरी के साथ। एडजस्टेड प्रति शेयर आय (EPS) 4.73 डॉलर रही, जबकि एनालिस्ट का आम अनुमान 3.98 डॉलर का था↗ ⁵।

एडवाइजरी आने के तीन दिन बाद एक निवेशक नोट ने शेयर में इस साल की शुरुआत से अब तक की 75% तेजी का श्रेय AI सुरक्षा की मांग और संस्थागत निवेश प्रवाह को दिया↗ — बिना खामी का जिक्र किए ⁶। उस हफ्ते की एकमात्र पुष्ट गिरावट — 24 सितंबर को आफ्टर-ऑवर्स में 2.07% गिरकर शेयर का 446.55 डॉलर पर आना↗ — बढ़ी हुई गाइडेंस और निखरती AI सुरक्षा रणनीति के संदर्भ में बताई गई; उस रिपोर्ट में भी CVE का नामोनिशान नहीं ⁷।

एक राष्ट्र-प्रायोजित हैकर F5 के जीरो-डे नोट्स लेकर पहले ही निकल चुका है

एक साल पहले F5 ने खुलासा किया था कि एक राष्ट्र-प्रायोजित हैकर (nation-state actor) को F5 के BIG-IP प्रोडक्ट डेवलपमेंट एनवायरनमेंट तक लंबे समय तक पहुंच बनी रही और वह वहां से सोर्स कोड और अप्रकाशित कमजोरियों की जानकारी लेकर निकल गया↗ ⁸; अमेरिकी न्याय विभाग ने F5 को इस खुलासे में देरी करने की इजाजत दी थी↗ ⁹। उस वक्त F5 ने कहा था कि चोरी हुई फाइलों में किसी अप्रकाशित गंभीर या रिमोट-कोड खामी की उसे जानकारी नहीं थी ⁸, और इस हफ्ते की एडवाइजरी नई खामी को उस चोरी से नहीं जोड़ती ¹। F5 ने नहीं बताया है कि मौजूदा हमले की मुहिम में अब तक कितने सिस्टम कंप्रोमाइज हुए हैं ⁹। नवंबर 2021 से CISA ने F5 की आठ कमजोरियों को हैकर्स के इस्तेमाल में आते हुए फ्लैग किया है, जिनमें से चार रैंसमवेयर हमलों में इस्तेमाल हो चुकी हैं ⁴।

विकास असली है; टेल रिस्क (tail risk) की कीमत अब तक नहीं लगी

नेटवर्क कंपनियों में जीरो-डे का इस्तेमाल होना अब आम बात हो चुकी है। उसी दिन Check Point और Arista भी KEV लिस्ट (ज्ञात रूप से इस्तेमाल हो चुकी कमजोरियों की सूची) में जुड़ गईं ³। F5 ने ब्रीच के बाद जो सुरक्षा उपाय अपनाए थे, उनकी पुष्टि NCC Group और IOActive ने की है। साथ ही, 14 अक्टूबर 2026 तक CrowdStrike का Falcon EDR BIG-IP के अंदर मुफ्त मिल रहा है ⁸। इस हफ्ते सार्वजनिक रूप से जो कुछ भी सामने आया—AI सुरक्षा पर लिखे गए तेजी भरे निवेशक नोट की तो बात ही क्या—उसने इस तथ्य की कीमत नहीं लगाई कि कंपनी की व्यापारिक खाई (moat) और अटैक सरफेस (attack surface) एक ही बॉक्स में बिकते हैं ⁶। अब नजर दो चीजों पर रहेगी: KEV जांच से बाहर आने वाले शिकारों के नाम, और 870 से 890 मिलियन डॉलर के रेवेन्यू गाइडेंस के मुकाबले चौथी तिमाही के नतीजे ⁵।