अगर आपकी कंपनी लॉगिन और OAuth टोकन के लिए F5 का BIG-IP डिवाइस इस्तेमाल करती है, तो क्या आप अभी खतरे में हैं? 22 सितंबर 2026 को सामने आई एक गंभीर खामी के बाद यह सवाल दुनिया भर के IT विभागों में पूछा जा रहा है। F5 ने खुद माना है कि हमलावर इसका फायदा उठा चुके हैं।

क्या हुआ: BIG-IP APM में मिली गंभीर खामी

F5 ने 22 सितंबर 2026 को एडवाइजरी K000162605 जारी कर बताया कि उसके BIG-IP Access Policy Manager (APM) में CVE-2026-94127 नाम की खामी मिली है। यह हीप-बेस्ड बफर ओवरफ्लो (CWE-122) है, जिसकी गंभीरता CVSS पैमाने पर 9.8 (10 में से) आंकी गई है।

F5 के अनुसार, कंपनी को खुद अंदरूनी जांच में यह खामी मिली, लेकिन साथ ही यह भी पता चला कि हमलावर इसे पहले से इस्तेमाल कर रहे थे। यानी यह एक 'जीरो-डे' हमला है — पैच आने से पहले ही एक्सप्लॉइट मौजूद था।

यह खामी काम कैसे करती है

यह खामी सिर्फ उन्हीं BIG-IP सिस्टम में असर करती है जहां एक ही वर्चुअल सर्वर पर APM एक्सेस पॉलिसी और OAuth प्रोफाइल दोनों साथ में सेट हों, और APM एक 'OAuth Authorization Server' की तरह काम कर रहा हो। ऐसे सिस्टम में खास तरह का नेटवर्क ट्रैफिक भेजकर कोई भी हमलावर, बिना लॉगिन किए, सीधे उस डिवाइस पर कोड चला सकता है।

OAuth Authorization Server को एक चाबी बनाने वाले कारीगर की तरह समझिए — वही तय करता है कि किसे कौन-सी डिजिटल चाबी (टोकन) मिलेगी। अगर यही कारीगर हमलावर के कब्ज़े में चला जाए, तो वह किसी भी यूज़र या सर्विस के नाम पर नकली, पर असली जैसी दिखने वाली चाबी बना सकता है।

F5 के मुताबिक यह गड़बड़ी सिस्टम के 'डेटा प्लेन' में है, यानी असली ट्रैफिक प्रोसेस करने वाले हिस्से में — न कि सिर्फ एडमिन कंट्रोल पैनल में। इसका मतलब है कि सिर्फ मैनेजमेंट इंटरफेस को बंद कर देने भर से यह खतरा टलता नहीं, क्योंकि हमला उसी वर्चुअल सर्वर पर होता है जो आम यूज़र्स का ट्रैफिक भी संभालता है।

कितना बड़ा है यह खतरा

इस खामी का असर BIG-IP APM के तीन वर्ज़न ब्रांच पर है: 21.1.0, 17.5.0 से 17.5.1, और 17.1.0 से 17.1.3। F5 ने इन सभी के लिए हॉटफिक्स जारी कर दिए हैं। जिन संस्थाओं ने अभी पैच नहीं लगाया, उनके लिए एक अस्थायी iRule उपाय भी उपलब्ध है।

अमेरिकी साइबर एजेंसी CISA ने इसे 'Known Exploited Vulnerabilities' सूची में डाल दिया और अमेरिकी सरकारी विभागों को 25 सितंबर 2026 तक — यानी सिर्फ तीन दिन में — पैच लगाने का आदेश दिया। कनाडा के साइबर सिक्योरिटी सेंटर ने भी उसी दिन अपनी चेतावनी (AL26-022) जारी की।

यह पहली बार नहीं है जब BIG-IP APM में इतनी गंभीर खामी मिली हो। पिछले साल भी CVE-2025-53521 नाम की एक खामी सामने आई थी, जिसमें भी हजारों BIG-IP APM डिवाइस इंटरनेट पर खुले पाए गए थे। ऐसे डिवाइस दुनिया भर के नेटवर्क का 'फ्रंट डोर' होते हैं, इसलिए हमलावरों के लिए यह बार-बार निशाना बनते रहे हैं।

2026 सिर्फ नए AI एजेंट वाले हमलों का साल नहीं रहा — इसी साल OpenAI के एक AI एजेंट ने ऑस्ट्रेलिया के Medicare पोर्टल में सेंध लगाई थी। अब पुराने, भरोसेमंद माने जाने वाले नेटवर्क उपकरणों में भी उतनी ही गंभीर खामियां मिल रही हैं।

भारत के संदर्भ में

BIG-IP जैसे डिवाइस दुनिया भर में बैंक, टेलीकॉम कंपनियां, बड़े ई-कॉमर्स प्लेटफॉर्म और सरकारी विभाग अपने लॉगिन और API सुरक्षा के लिए इस्तेमाल करते हैं, और भारत भी इससे अलग नहीं है। अगर किसी भारतीय संस्था में यह कमज़ोर कॉन्फ़िगरेशन मौजूद है, तो CERT-In के 2022 के निर्देशों के तहत उसे घटना का पता चलने के 6 घंटे के भीतर रिपोर्ट करना अनिवार्य है।

अगर हमले में ग्राहकों का निजी डेटा भी चोरी होता है, तो 2023 का डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम (DPDP Act) अलग से डेटा ब्रीच की सूचना देने की ज़िम्मेदारी डालता है। हमारा अंदाज़ा है कि कई भारतीय संस्थाएं अभी भी कॉम्प्लायंस कागज़ी काम में उतना ही समय लगाती हैं जितना असली पैचिंग में, जिससे जोखिम की खिड़की लंबी खुली रहती है।

भारत में बड़े बैंकों, टेलीकॉम ऑपरेटरों और डेटा सेंटर चलाने वाली कंपनियों के लिए ऐसे नेटवर्क डिवाइस उनकी सुरक्षा की पहली परत होते हैं। अगर यही परत कमज़ोर निकले, तो असर सिर्फ एक कंपनी तक सीमित नहीं रहता — उससे जुड़े लाखों ग्राहकों के लॉगिन और लेन-देन भी जोखिम में आ सकते हैं।

संस्थाएं अभी क्या करें

जिन संस्थाओं के पास BIG-IP APM है, उनके लिए यह जांच सूची सबसे पहला कदम होनी चाहिए, फिर पैचिंग और लॉग रिव्यू की बारी आती है:

  • जांचें कि कहीं BIG-IP APM पर एक साथ access policy और OAuth profile तो सेट नहीं
  • F5 का संबंधित हॉटफिक्स (21.1.0, 17.5.x या 17.1.x ब्रांच के हिसाब से) तुरंत लगाएं
  • तुरंत पैच न लग पाए तो F5 सपोर्ट से iRule वाला अस्थायी उपाय लें
  • OAuth लॉगिन फेल होने की बार-बार कोशिशें और असामान्य क्रैश के लॉग जांचें

अभी क्या साफ नहीं है

F5 ने यह नहीं बताया कि हमलावर कौन हैं, या कितने सिस्टम अब तक चपेट में आ चुके हैं। किसी सार्वजनिक 'प्रूफ-ऑफ-कॉन्सेप्ट' कोड की भी अभी पुष्टि नहीं हुई है, हालांकि असल हमले हो चुके हैं — यानी एक्सप्लॉइट कहीं मौजूद तो है, बस खुलेआम सामने नहीं आया।

दुनिया भर में कितने BIG-IP APM सिस्टम इस खास कमज़ोर कॉन्फ़िगरेशन (access policy और OAuth Authorization Server एक साथ) में चल रहे हैं, इसका कोई पुष्ट आंकड़ा अभी सामने नहीं आया — सिर्फ यह पता है कि BIG-IP APM सामान्य तौर पर हजारों संस्थाओं में इस्तेमाल होता है।

आगे क्या देखें

अगले कुछ हफ्तों में यह देखना अहम होगा कि कितनी संस्थाएं तय समय में पैच लगाती हैं, और क्या इस खामी से जुड़ी कोई बड़ी डेटा चोरी सामने आती है। यह भी देखना होगा कि क्या कोई सुरक्षा शोधकर्ता आने वाले दिनों में इसका पूरा 'प्रूफ-ऑफ-कॉन्सेप्ट' कोड सार्वजनिक करता है, जिससे हमला और आसान हो सकता है।

फिलहाल यह एक टेक्निकल एडवाइजरी भर लग सकता है, लेकिन जिस रफ्तार से CISA और कनाडा दोनों ने इसे गंभीर माना, वह बताता है कि खतरा किताबी नहीं, असली है।

स्रोत: F5, SecurityWeek, The Hacker News, CISA, Canadian Centre for Cyber Security

यह भी पढ़ें