F5 ha divulgato il 15 ottobre 2025 che attori di minaccia sponsorizzati da uno stato-nazione hanno compromesso i suoi sistemi interni, rubando file contenenti porzioni del codice sorgente proprietario di BIG-IP e informazioni su vulnerabilità non ancora pubbliche. La Cybersecurity and Infrastructure Security Agency (CISA) ha reagito nelle stesse ore con l'Emergency Directive ED 26-01, obbligando le agenzie federali statunitensi a inventariare ogni dispositivo F5, isolare le interfacce di management da Internet e applicare aggiornamenti entro il 22 ottobre 2025. L'urgenza nasce da un'intuizione tecnica precisa: il furto congiunto di source code e di vulnerability information elimina la fase di ricognizione, dando all'attore un vantaggio misurabile nella costruzione di exploit.
- F5 ha ingaggiato Google Mandiant e CrowdStrike per l'incident response, ha ruotato credenziali e certificati di firma, e ha rafforzato i controlli di accesso; dal 9 agosto 2025 non rileva nuova attività non autorizzata.
- CISA definisce l'attore "nation-state affiliated" e descrive il furto come fonte di "technical advantage to exploit F5 devices and software", con capacità di "static and dynamic analysis for identification of logical flaws and zero-day vulnerabilities".
- F5 ha divulgato 45 vulnerabilità nel trimestre corrente contro sole 6 nel trimestre precedente, secondo Michael Sikorski, CTO di Unit 42 di Palo Alto Networks.
- Bloomberg ha riportato che l'intrusione è durata almeno 12 mesi e ha coinvolto il malware BRICKSTORM, attribuito al gruppo di cyber spionaggio cinese UNC5221 secondo precedenti analisi di Mandiant e Google Threat Intelligence Group.
Il doppio furto: source code più vulnerability information
La compromissione di F5 non riguarda solo il codice sorgente di BIG-IP. I file esfiltrati contenevano anche documentazione su vulnerabilità che F5 stava attivamente correggendo, ma che non aveva ancora reso pubbliche. Questa combinazione altera la dinamica usuale del reverse engineering post-breach. Michael Sikorski, CTO di Unit 42 di Palo Alto Networks, ha dichiarato che "generally, if an attacker steals source code, it takes time to find exploitable issues. In this case, they also stole information on undisclosed vulnerabilities that F5 was actively working to patch. This provides the ability for threat actors to exploit vulnerabilities that have no public patch, potentially increasing speed to exploit creation".
La lettura è tecnica e lineare: senza la mappa delle falle, un attore deve ricostruire il percorso da zero attraverso analisi statica e dinamica del codice. Con la vulnerability information, quel percorso è già tracciato. CISA ha formalizzato questo rischio nell'Emergency Directive ED 26-01, affermando che l'accesso al codice sorgente fornisce "the ability to conduct static and dynamic analysis for identification of logical flaws and zero-day vulnerabilities, as well as the ability to develop targeted exploits".
"A nation-state affiliated cyber threat actor has compromised F5 systems and exfiltrated data, including portions of the BIG-IP proprietary source code and vulnerability information, which provides the actor with a technical advantage to exploit F5 devices and software. This poses an imminent threat to federal networks using F5 devices and software." — CISA, Emergency Directive ED 26-01
Le scadenze di ED 26-01 e il targeting delle management interface
L'Emergency Directive ED 26-01 impone quattro scadenze progressive. Entro il 22 ottobre 2025 le agenzie del Federal Civilian Executive Branch devono applicare aggiornamenti per F5OS, TMOS, BIG-IQ e BNK/CNF. Entro il 29 ottobre 2025 devono consegnare a CISA un report riassuntivo dell'inventario prodotti. Entro il 31 ottobre 2025 completano l'update di altri dispositivi virtuali e fisici, oltre a seguire le guidance di hardening. Il 3 dicembre 2025 scade la consegna del report dettagliato completo. CISA trasmetterà il resoconto finale al Segretario del DHS e agli ufficiali designati entro il 1 marzo 2026.
Un elemento specifico della direttiva merita attenzione: CISA richiede esplicitamente la mitigazione dell'esposizione Internet delle "networked management interfaces", riferendosi al Binding Operational Directive 23-02. BIG-IP gestisce bilanciamento del carico, firewall applicativi, autenticazione e accesso VPN per data center e cloud enterprise. Le sue interfacce di amministrazione sono da sempre una superficie di attacco privilegiata. L'indicazione di CISA suggerisce che il vettore di sfruttamento anticipato potrebbe passare proprio da queste superfici, già critiche prima del breach.
La corsa di F5: 45 vulnerabilità contro 6
Il dato quantitativo più evidente dello sforzo compensativo di F5 è il rapporto 45 a 6. Secondo Michael Sikorski, F5 ha divulgato 45 vulnerabilità nel trimestre del breach contro sole 6 nel trimestre precedente. "The disclosure of 45 vulnerabilities in this quarter vs. just 6 last quarter suggests F5 is moving as fast as they can to actively patch these stolen flaws before the threat actors can exploit them". La frase contiene un'asimmetria temporale: F5 sta correndo per chiudere falle che l'attore potrebbe già avere analizzato per mesi. Bloomberg ha riportato che gli attaccanti erano nella rete F5 per almeno 12 mesi; F5 non ha confermato questa cifra specifica, ma ha appreso della violazione solo il 9 agosto 2025, secondo una Form 8-K depositata presso la SEC. La divulgazione pubblica è stata ritardata su richiesta del Dipartimento di Giustizia degli Stati Uniti.
F5 afferma di non aver osservato indicazioni che le vulnerabilità siano state sfruttate in contesto malevolo. La dichiarazione è circoscritta al presente: non esclude capacità future, né esclude che l'attore abbia già sviluppato exploit in ambiente controllato. Gli attaccanti non hanno avuto accesso ai sistemi CRM, finanziari, gestione casi di supporto o iHealth di F5. Alcuni file esfiltrati dalla piattaforma di knowledge management contenevano informazioni di configurazione per una piccola percentuale di clienti; F5 notificherà direttamente i soggetti interessati.
Attribuzione, BRICKSTORM e il nesso con UNC5221
F5 e CISA utilizzano formulazioni generiche per l'attribuzione: "highly sophisticated nation-state threat actor" e "nation-state affiliated cyber threat actor". Bloomberg ha fornito un'identificazione più specifica, riferendo che l'intrusione ha coinvolto il malware BRICKSTORM, attribuito al gruppo di cyber spionaggio cinese UNC5221. Mandiant e Google Threat Intelligence Group avevano precedentemente documentato che UNC5221 e cluster correlati hanno preso di mira aziende nei settori legal services, SaaS, BPO e tech negli Stati Uniti per distribuire il backdoor BRICKSTORM.
F5 e CISA non confermano l'identità UNC5221 o il nesso cinese. Il dossier redazionale registra questa informazione come attribuzione esterna, non come fatto verificato dalle fonti primarie. Ciò che resta solido è la natura dell'operazione: durata prolungata, targeting di sviluppo prodotto, interesse al codice sorgente e alle vulnerabilità future, coinvolgimento di responder di primo livello. Il movente è coerente con cyber spionaggio strategico, non con monetizzazione rapida.
Cosa fare adesso
Le organizzazioni che utilizzano BIG-IP, BIG-IQ o prodotti correlati devono trattare l'Emergency Directive CISA come proxy di urgenza anche per il settore privato. Le azioni prioritarie sono quattro.
Inventariare ogni istanza F5 con distinzione tra dispositivi fisici, virtuali e moduli cloud. La direttiva federale richiede questo passaggio come prerequisito; le imprese devono replicarlo per mappare la superficie di esposizione.
Isolare immediatamente le interfacce di management da Internet, seguendo il principio del BOD 23-02. CISA ha evidenziato questa superficie come prioritaria; nessuna interfaccia amministrativa di BIG-IP dovrebbe rimanere esposta senza controllo di accesso rigido.
Applicare gli aggiornamenti pubblicati da F5 nel trimestre corrente, concentrando priorità sulle 45 vulnerabilità divulgate. La logica è quella della gara contro il clock: ogni giorno di ritardo allarga la finestra in cui un exploit potrebbe emergere.
Verificare i log di accesso amministrativo da almeno 12 mesi a questa parte, considerando il timeframe di persistenza riportato da Bloomberg. La ricerca di anomalie deve estendersi oltre la data di disclosure di F5.
Perché questo breach ridefinisce il rischio infrastructure
BIG-IP è presente nei punti di controllo critici della rete: bilanciamento del carico, accesso remoto, segmentazione, inspection SSL. Il furto del suo codice sorgente congiuntamente alla mappa delle falle interne trasforma ogni istanza non aggiornata in un bersaglio potenziale con tempi di exploit imprevedibilmente compressi. L'emergenza non è nel passato, ma nella finestra futura che si comprime ogni giorno che F5 impiega a patchare e che le organizzazioni impiegano a verificare.
Il caso F5 insegna anche un limite della disclosure ritardata: il DoJ ha imposto silenzio per settimane, ma l'attore aveva già mesi di vantaggio. Tra il 9 agosto 2025, quando F5 ha scoperto la violazione, e il 15 ottobre 2025, quando CISA ha reso pubblica l'emergenza, il tempo ha lavorato per chi già possedeva il codice. La direttiva ED 26-01 tenta di recuperare terreno con coercizione federale; il settore privato non ha la stessa leva istituzionale e deve compensare con velocità operativa.
Domande frequenti
Perché CISA ha usato un'Emergency Directive e non un semplice alert?
L'Emergency Directive è lo strumento vincolante per le agenzie federali, con scadenze e reporting obbligatori. CISA la riserva a minacce che definisce "imminent threat" con impatto diretto sulla sicurezza nazionale. Il livello di risposta riflette la gravità del furto congiunto di source code e vulnerability information, non solo del breach in sé.
F5 ha confermato che gli attaccanti sono cinesi o UNC5221?
No. F5 e CISA utilizzano formulazioni generiche di nation-state attribution. Bloomberg ha citato Mandiant e GTIG per il nesso con UNC5221 e il malware BRICKSTORM, ma questa è attribuzione esterna non verificata dalle fonti primarie del dossier.
Le 45 vulnerabilità divulgate sono quelle rubate?
F5 non ha esplicitato quale sottoinsieme delle 45 vulnerabilità corrisponda alle falle il cui dettaglio è stato esfiltrato. Michael Sikorski di Palo Alto Networks ha interpretato l'accelerazione come sforzo di patching delle falle rubate, ma il collegamento preciso non è documentato nelle fonti primarie.
Fonti
- https://thehackernews.com/2025/10/f5-breach-exposes-big-ip-source-code.html
- https://www.cisa.gov/news-events/directives/ed-26-01-mitigate-vulnerabilities-f5-devices
- https://www.cisa.gov/news-events/alerts/2025/10/15/cisa-directs-federal-agencies-mitigate-vulnerabilities-f5-devices
- https://www.cisa.gov/news-events/directives/binding-operational-directive-23-02
- https://www.cisa.gov/news-events/directives
- https://thehackernews.com/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.