Флагманскую систему аутентификации F5 атакуют — акции всё равно выросли на 75%

22 сентября F5 сообщила клиентам, что злоумышленники эксплуатируют брешь в её флагманской системе аутентификации↗. CVE-2026-94127 — переполнение буфера в динамической памяти (heap) в BIG-IP APM, работающем в роли сервера авторизации OAuth, — даёт не прошедшему аутентификацию атакующему возможность удалённого выполнения кода и оценена в 9,8 балла по CVSS v3.1 ¹². В тот же день CISA внесла уязвимость в каталог активно эксплуатируемых (KEV)↗ и установила федеральным ведомствам срок до пятницы; по директиве BOD 26-04 от них требуется и форензическое обследование ³.

Брешь — в узле, проверяющем каждый вход

APM — это централизованный прокси, контролирующий доступ к корпоративным сетям, приложениям, облачным сервисам и API↗ ⁴. Уязвимы версии 21.1.0, 17.5.0–17.5.1 и 17.1.0–17.1.3: атака идёт через плоскость данных, уязвим и режим appliance. Баг F5 нашла самостоятельно и уже выпустила хотфиксы, а для медлящих с обновлением — временное защитное правило iRule ¹. Shadowserver насчитывает более 14 700 доступных из интернета адресов с APM и не может сказать, какие из них уже пропатчены, а какие — ханипоты ⁴. Признак атаки — сначала повторяющиеся ошибки OAuth, затем подозрительные команды, затем падение подсистемы управления трафиком↗ ¹. Кто платит: предприятия и ведомства за этими адресами — дедлайн CISA вынуждает их ставить патчи и проводить форензическую проверку ³⁴. Кому платят: держателям премии — до тех пор, пока не назовут жертву.

Единственная уценка рынка — прогноз

Выручка за третий квартал финансового года составила $865,1 млн — на 11% выше; скорректированная прибыль на акцию достигла $4,73 при консенсус-прогнозе $3,98↗ ⁵.

Спустя три дня после предупреждения появилась инвесторская записка, объясняющая рост котировок F5 на 75% с начала года спросом на решения в сфере безопасности ИИ и притоком средств институциональных инвесторов↗; об уязвимости в ней — ни слова ⁶. Единственное подтверждённое снижение за неделю — падение на 2,07% в дополнительных торгах 24 сентября, до $446,55↗ — объясняли повышенным прогнозом компании и более сфокусированной стратегией в области безопасности ИИ; о CVE в том материале тоже ни слова ⁷.

Хакеры, связанные с государством, уже выносили из F5 материалы о нулевых днях

Годом ранее F5 сообщила, что актор, связанный с государством, имел длительный доступ к среде разработки продуктов BIG-IP и ушёл, забрав исходный код и сведения о нераскрытых уязвимостях↗ ⁸; Министерство юстиции США разрешило F5 отложить раскрытие этой информации↗ ⁹. Тогда F5 заявила, что среди похищенных файлов, насколько ей известно, не было нераскрытых критических уязвимостей или уязвимостей с удалённым выполнением кода ⁸, а предупреждение, выпущенное на этой неделе, не связывает новую уязвимость с той кражей ¹. F5 не сообщила, сколько систем скомпрометировано в текущей кампании атак ⁹. С ноября 2021 года CISA внесла в каталог KEV восемь уязвимостей F5, четыре из которых использовались программами-вымогателями ⁴.

Рост реален — хвостовой риск не заложен в цену

Эксплуатируемые уязвимости нулевого дня у сетевых вендоров — теперь обычное дело; Check Point и Arista попали в каталог KEV в тот же день ³. Эффективность мер локализации, принятых F5 после той компрометации, подтвердили NCC Group и IOActive, а Falcon EDR компании CrowdStrike поставляется в составе BIG-IP бесплатно по 14 октября 2026 года ⁸. Ничто из опубликованного на этой неделе — и уж тем более оптимистичная инвесторская записка о безопасности ИИ — не заложило в цену тот факт, что конкурентный ров и поверхность атаки поставляются в одном и том же корпусе ⁶. Следить стоит за именами жертв, которые будут названы по итогам обследований по линии KEV, и за четвёртым кварталом — в сравнении с прогнозом выручки в $870–890 млн ⁵.