米F5、主力認証アプライアンスへの攻撃が進行中――それでも株価は年初来75%高

F5は9月22日、主力ログイン・アプライアンスの穴を攻撃者が悪用していると顧客に通知した↗。CVE-2026-94127は、OAuth認可サーバーとして動作するBIG-IP APMにおけるヒープベース・バッファオーバーフローで、未認証の攻撃者にリモートコード実行を許す。CVSS v3.1の深刻度スコアは9.8だ ¹²。CISAは同日、KEVカタログ(悪用が確認された脆弱性の一覧)に登録↗し、連邦政府機関に対し、金曜日までの修正に加え、運用指令「BOD 26-04」が義務付けるフォレンジック・トリアージも求めた ³。

欠陥が潜むのは、すべてのログインを検査する装置

APMは、企業のネットワークやアプリケーション、クラウドサービス、APIへのアクセスを保護する集中型プロキシ(中継サーバー)だ↗ ⁴。データプレーン経由で影響を受けるのはバージョン21.1.0、17.5.0~17.5.1、17.1.0~17.1.3で、アプライアンスモードも含まれる。F5はこの欠陥を社内で発見し、ホットフィックスを提供した。修正が遅れる向きには、緩和策のiRuleも用意した ¹。セキュリティ団体Shadowserverの集計では、インターネットに公開されたAPMのアドレスは1万4700を超える。だが、うちどれだけが修正済みで、どれだけがハニーポットかは分からないという ⁴。攻撃の兆しは、OAuth認証の失敗が繰り返された後、不審なコマンドが実行され、最後にトラフィック管理機能がクラッシュする↗という流れだ ¹。誰が払うのか:それらのアドレスの背後にいる企業と政府機関だ。CISAの期限に突き動かされ、修正とフォレンジック・トリアージを迫られる ³⁴。誰が受け取るのか:プレミアムを握る者たち――被害者の名前が出るまでは。

市場が値引きしたのは見通しだけ

2026会計年度第3四半期(4~6月期)の売上高は11%増の8億6510万ドルとなった。調整後1株当たり利益(EPS)は4.73ドルで、市場コンセンサスの3.98ドルを上回った↗ ⁵。

注意喚起から3日後、投資家向けリポートは、株価の年初来75%の上昇をAIセキュリティ需要と機関資金の流入によるものと評価した↗が、脆弱性には一切触れていなかった⁶。今週、裏付けの取れた唯一の下落は9月24日、時間外取引で2.07%安の446.55ドルまで下げた場面↗だが、この下げを伝えた記事は業績見通しの引き上げとより鮮明になったAIセキュリティ戦略を軸に書かれており、CVE番号への言及はここにもない⁷。

国家背景の攻撃者は既にF5のゼロデイ情報を持ち出していた

1年前、F5は国家背景の攻撃者がBIG-IPの製品開発環境に長期間アクセスし、ソースコードと未公表だった脆弱性の詳細を持ち去った↗と明らかにした⁸。米司法省はF5に対し、この開示を遅らせることを認めていた↗⁹。当時、F5は盗まれたファイルの中に未公表の深刻度「クリティカル」やリモートコード実行の脆弱性は把握していないと説明していた⁸が、今週の注意喚起も新たな脆弱性とこの窃取の関連には触れていない¹。今回の攻撃で侵害されたシステムの数について、F5は明らかにしていない⁹。2021年11月以降、CISAが悪用を確認したとして指摘したF5の脆弱性は計8件で、うち4件はランサムウェア攻撃に使われた⁴。

成長は本物、テールリスクは値付けされず

ネットワーク機器ベンダーのゼロデイが実際の攻撃に使われるのは今や日常茶飯事だ。同日には、チェック・ポイントとアリスタネットワークスの脆弱性もKEVカタログに掲載された³。F5の侵害後の封じ込め策はNCC GroupとIOActiveが検証済みで、クラウドストライクの「ファルコンEDR」は2026年10月14日までBIG-IPに無償で同梱される⁸。堀(競争優位の源泉)と攻撃面が同じ筐体で出荷されるという事実を、今週公表された情報のどれも値付けしておらず、AIセキュリティ需要を材料とする強気リポートはその最たるものだ⁶。注目すべきは、KEVカタログ掲載に伴うトリアージで被害者の名前が挙がるかどうか、そして8億7000万~8億9000万ドルの売上高見通しに対する第4四半期の業績である⁵。