F5: גורם מדינתי גנב קוד של BIG-IP, ו-CISA הוציאה הוראת חירום ED 26-01
ב-15 באוקטובר 2025 הודיעה F5 שגורם מדינתי הוריד קבצים מסביבת הפיתוח של BIG-IP, וביניהם חלק מקוד המקור. CISA הוציאה באותו יום הוראת חירום ED 26-01.
TL;DR בקצרה
- לפי F5, גורם מדינתי מתוחכם שמר על גישה לסביבת הפיתוח של BIG-IP והוריד קבצים, כולל חלק מקוד המקור ומידע על חולשות שעדיין אין להן תיקון.
- F5 אומרת שאין ראיות לפגיעה בשרשרת האספקה של התוכנה, ב-NGINX או במערכות הלקוחות, ושהיא לא מכירה ניצול של החולשות הסמויות.
- CISA הורתה לסוכנויות פדרליות בארה״ב לאתר מכשירי F5, לוודא שממשק הניהול לא חשוף לאינטרנט ולעדכן עד 22 באוקטובר 2025.
- F5 פרסמה עדכונים ל-BIG-IP, ל-F5OS, ל-BIG-IQ ול-BIG-IP Next for Kubernetes, וגם מדריך לציד איומים.
ב-15 באוקטובר 2025 הודיעה F5 שגורם מדינתי מתוחכם חדר למערכות הפיתוח של BIG-IP והוריד מהן קבצים. לפי החברה, בין הקבצים היו חלק מקוד המקור ומידע על חולשות שעדיין אין להן תיקון. באותו יום פרסמה CISA הוראת חירום, ED 26-01, לסוכנויות הפדרליות בארה״ב.
מה F5 מסרה על הפריצה
F5 גילתה את החדירה באוגוסט 2025. לפי BleepingComputer, זה קרה ב-9 באוגוסט. ב-12 בספטמבר קבע משרד המשפטים האמריקאי שיש הצדקה לדחות את הפרסום, לפי סעיף 1.05(c) בטופס 8-K. לכן הדיווח לציבור הגיע רק באמצע אוקטובר.
לדברי F5, התוקף שמר על גישה לאורך זמן. הוא פעל בסביבת הפיתוח של BIG-IP ובפלטפורמות ניהול הידע של ההנדסה. משם הוא הוריד חלק מקוד המקור ומידע על חולשות ש-F5 עבדה על תיקונן. בחלק מהקבצים היו גם פרטי הגדרה והטמעה של אחוז קטן מהלקוחות. F5 לא מסרה מספר, והיא תיצור קשר עם הלקוחות הרלוונטיים.
החברה מדגישה גם מה לא קרה. אין לה ראיות לגישה למערכות CRM, לכספים, לניהול פניות תמיכה או ל-iHealth. אין לה ראיות לשינוי בשרשרת האספקה של התוכנה, כולל קוד המקור וצנרת הבנייה. בדיקות עצמאיות של NCC Group ו-IOActive תומכות בכך, לפי F5. לדבריה, התוקף גם לא נגע ב-NGINX, ב-Distributed Cloud Services וב-Silverline.
F5 מוסיפה שהיא לא מכירה חולשה סמויה ברמה קריטית, ולא חולשה סמויה להרצת קוד מרחוק. היא גם לא מודעת לניצול פעיל של חולשות כאלה. בתגובה היא החליפה אישורי גישה וחיזקה בקרות. היא הקשיחה את סביבת הפיתוח והזמינה את CrowdStrike ואת Mandiant.
הוראת החירום ED 26-01 של CISA
CISA כתבה שהגורם המדינתי מהווה ״איום מיידי״ על רשתות פדרליות שמפעילות מכשירי F5. לדבריה, הגישה לקוד יכולה לעזור לתוקף למצוא חולשות יום אפס, כלומר חולשות שאין להן תיקון, ולפתח ניצולים ממוקדים. ההוראה חלה על סוכנויות פדרליות אזרחיות בלבד.
CISA הורתה לסוכנויות לאתר כל מכשיר BIG-IP וכל מופע של התוכנה. היא הורתה להן גם לבדוק אם ממשק הניהול נגיש מהאינטרנט. הסוכנויות צריכות לעדכן עד 22 באוקטובר 2025 את F5OS, את BIG-IP TMOS ואת BIG-IQ, וגם את BNK/CNF. עד 29 באוקטובר עליהן להגיש סיכום של המוצרים שברשותן. מכשירי F5 חשופים שהגיעו לסוף תמיכה צריכים לצאת משימוש.
למה ED 26-01 חשובה גם לארגונים פרטיים
ההוראה מחייבת רק גופים פדרליים. ובכל זאת היא מצביעה על צעדים שכל ארגון שמריץ BIG-IP יכול לאמץ. CISA מזהירה שניצול חולשות במכשירים האלה עלול לחשוף אישורי גישה ומפתחות API שמוטמעים בהם. הוא עלול גם לאפשר תנועה רוחבית ברשת, גניבת מידע וגישה מתמשכת.
Infosecurity Magazine מצטטת אנליסטים שמעריכים שהפריצה עשויה להיות שלב ראשון בקמפיין נגד שרשרת האספקה. זו הערכה ולא ממצא מאושר. נכון לפרסום, F5 לא מכירה ניצול של החולשות הסמויות. F5 וגם CISA לא נקבו בשם המדינה שעומדת מאחורי הפריצה.
F5 פרסמה עדכונים ל-BIG-IP, ל-F5OS, ל-BIG-IQ, ל-BIG-IP Next for Kubernetes ולתוכנת APM Client. היא פרסמה גם מדריך לציד איומים, ובדיקות חדשות בכלי iHealth. לפי BleepingComputer, גם CISA וגם ה-NCSC הבריטי ממליצים לאתר את כל מוצרי F5 ולוודא שאין ממשק ניהול חשוף.
המקור המלא: הדיווח ב-F5.
מה זה אומר עבורכם
- מפו את מכשירי F5: רשמו כל BIG-IP, חומרה או וירטואלי, וגם F5OS, BIG-IQ ו-BIG-IP Next.
- סגרו את ממשק הניהול: ודאו שהוא לא נגיש מהאינטרנט, ושרק רשת ניהול ייעודית מגיעה אליו.
- עדכנו מיד: התקינו את העדכונים מההודעה הרבעונית של F5 מאוקטובר 2025.
- הפעילו ניטור: שלחו אירועי BIG-IP ל-SIEM לפי KB13080, ועקבו אחרי ניסיונות כניסה לפי KB13426.
- בדקו אם יש חשד: בקשו מ-F5 את מדריך ציד האיומים, והוציאו משימוש מכשירים חשופים שאין להם תמיכה.
מקורות והרחבה
- F5 security incident statement (Form 8-K exhibit 99.1)F5
- ED 26-01: Mitigate Vulnerabilities in F5 DevicesCISA
- F5 says hackers stole undisclosed BIG-IP flaws, source codeBleepingComputer
- F5 reveals nation-state breach and urges immediate patchingInfosecurity Magazine
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
