F5, colosso americano delle soluzioni di networking e sicurezza, ha dovuto ammettere pubblicamente quello che nessuna azienda vorrebbe mai rivelare: attori sponsorizzati da uno stato-nazione hanno penetrato i suoi sistemi e si sono impossessati di porzioni del codice sorgente di BIG-IP, oltre a documentazione relativa a vulnerabilità non ancora rese pubbliche. L’annuncio è arrivato mercoledì scorso tramite un filing alla SEC, il documento obbligatorio che le società quotate devono presentare quando si verificano eventi materialmente rilevanti per gli azionisti.
La violazione è stata scoperta il 9 agosto 2025, ma tutto fa pensare che gli attaccanti abbiano goduto di un accesso persistente e prolungato alla rete aziendale. F5 parla esplicitamente di un “threat actor altamente sofisticato affiliato a uno stato-nazione”, una definizione che nel gergo della cybersecurity indica tipicamente operazioni di intelligence o cyber-spionaggio condotte con il supporto di apparati governativi. L’azienda ha scelto di non identificare pubblicamente l’origine geografica degli attaccanti, ma fonti citate da Bloomberg hanno puntato il dito verso la Cina, collegando l’intrusione al gruppo UNC5221 e all’utilizzo di BRICKSTORM, una famiglia di malware già nota ai ricercatori di Mandiant e Google Threat Intelligence Group.
Il quadro che emerge è quello di un’operazione di intelligence mirata e metodica. Gli attaccanti non hanno colpito alla cieca: hanno preso di mira specificamente l’ambiente di sviluppo dei prodotti BIG-IP, estraendo file contenenti codice sorgente proprietario e, elemento ancora più critico, informazioni su vulnerabilità non ancora divulgate né corrette. Questo dettaglio cambia completamente la natura della minaccia. Quando un attaccante ottiene il codice sorgente di un prodotto di sicurezza può analizzarlo con calma, condurre revisioni statiche e dinamiche del codice, identificare pattern vulnerabili e sviluppare exploit con una precisione chirurgica. Ma quando dispone anche di documentazione su bug già noti all’azienda ma non ancora patchati, il vantaggio tattico diventa schiacciante.
F5 ha precisato che l’accesso degli attaccanti si è limitato all’ambiente di sviluppo di BIG-IP e che non sono state compromesse altre infrastrutture critiche come i sistemi CRM, finanziari, di gestione dei ticket di supporto o la piattaforma iHealth. Tuttavia, alcuni file esfiltrati dalla knowledge base aziendale contenevano informazioni relative a configurazioni o implementazioni di una piccola percentuale di clienti, che verranno contattati direttamente. La natura distribuita e enterprise-grade dei prodotti F5 significa che tra questi clienti potrebbero figurare istituzioni governative, aziende Fortune 500, provider di servizi critici e operatori di infrastrutture essenziali.
La risposta dell’azienda è stata rapida e articolata su più fronti. F5 ha ingaggiato due dei nomi più pesanti della incident response globale, Mandiant di Google e CrowdStrike, per condurre l’indagine forense e supportare le operazioni di contenimento. Sono state ruotate tutte le credenziali di accesso, i certificati e le chiavi crittografiche potenzialmente esposte. Sono stati implementati controlli di accesso rafforzati e deployment di strumenti di monitoraggio delle minacce più avanzati. L’intera architettura di sicurezza della rete aziendale è stata ridisegnata con layer addizionali di protezione. L’ambiente di sviluppo prodotti ha ricevuto controlli di sicurezza supplementari. Al momento della disclosure, F5 ha dichiarato di non aver osservato nuove attività non autorizzate e di ritenere che gli sforzi di contenimento abbiano avuto successo.
Ma la vera corsa contro il tempo riguarda le vulnerabilità. F5 ha pubblicato aggiornamenti per BIG-IP, F5OS, BIG-IP Next per Kubernetes, BIG-IQ e i client APM, esortando tutti gli utenti ad applicarli immediatamente. Il numero stesso di patch rilasciate racconta la gravità della situazione: quarantacinque vulnerabilità corrette in questo trimestre, contro le sei del trimestre precedente. Come ha sottolineato Michael Sikorski, CTO di Unit 42 di Palo Alto Networks, questo salto drammatico suggerisce che F5 stia accelerando il ritmo di patching per chiudere i bug di cui gli attaccanti potrebbero aver acquisito conoscenza durante l’intrusione.
La CISA, l’agenzia federale americana per la cybersecurity e la sicurezza delle infrastrutture, ha reagito con una mossa senza precedenti emettendo la direttiva di emergenza ED 26-01. Il documento ordina a tutte le agenzie federali civili di inventariare immediatamente i dispositivi F5 BIG-IP in loro possesso, verificare se le interfacce di management sono esposte su internet pubblico, applicare gli aggiornamenti entro il 22 ottobre 2025 e sottoporre un report completo alla CISA entro il 29 ottobre. L’urgenza della direttiva riflette la valutazione che l’accesso ottenuto dagli attaccanti al codice sorgente e alla documentazione delle vulnerabilità fornisca loro un vantaggio tecnico tale da rappresentare una minaccia imminente per le reti federali che utilizzano prodotti F5.
La direttiva CISA va oltre, chiedendo alle agenzie di rafforzare i dispositivi esposti pubblicamente, disconnettere quelli che hanno raggiunto l’end-of-life e mitigare una specifica vulnerabilità di information disclosure nei cookie di BIG-IP. L’agenzia ha anche raccomandato alle organizzazioni del settore privato e delle infrastrutture critiche di seguire le stesse misure, pur non potendo imporre loro la compliance obbligatoria.
L’attribuzione a UNC5221 aggiunge ulteriori livelli di preoccupazione. Questo gruppo, tracciato da Mandiant, è stato collegato a campagne di cyber-spionaggio contro aziende di servizi legali, provider SaaS, Business Process Outsourcers e aziende tecnologiche negli Stati Uniti. Il loro toolkit include BRICKSTORM, un backdoor sofisticato che consente accesso persistente e operazioni di data exfiltration. Il mese scorso Mandiant aveva già documentato come UNC5221 e cluster correlati stessero prendendo di mira queste verticali industriali, ma la scoperta che abbiano penetrato F5 stesso eleva significativamente il profilo della minaccia.
Bloomberg ha riportato che gli attaccanti sono rimasti nella rete F5 per almeno dodici mesi, un dwell time che suggerisce capacità avanzate di evasione e persistence. Un anno di accesso ininterrotto a un ambiente di sviluppo prodotti significa potenzialmente migliaia di commit di codice analizzati, centinaia di discussioni interne su bug e fix osservate, architecture decision records studiati, test suite esaminati. È il tipo di intelligence che permette di costruire una conoscenza profonda non solo di cosa il software fa, ma di come lo fa, dove taglia gli angoli, quali assunzioni di sicurezza fa, dove i developer hanno lasciato commenti tipo “TODO: fix this properly later”.
Il fatto che F5 non abbia osservato sfruttamento attivo delle vulnerabilità esposte è una magra consolazione. Nel mondo delle APT, advanced persistent threats, l’accesso a zero-day e al codice sorgente viene tipicamente custodito gelosamente e utilizzato con estrema parsimonia, solo contro target di alto valore dove il compromesso del tool vale il rischio. Questi exploit vengono spesso conservati in arsenali digitali per anni prima dell’uso operativo, o scambiati tra agenzie di intelligence alleate attraverso canali discreti.
La supply chain attack implicita in questo scenario è particolarmente insidiosa. BIG-IP non è un prodotto consumer o una applicazione di nicchia. È deployed in decine di migliaia di data center enterprise, cloud provider, operatori telecom, istituzioni finanziarie, agenzie governative. Funziona come reverse proxy, load balancer, application firewall, SSL/TLS terminator, spesso seduto esattamente nel punto dove il traffico esterno incontra le applicazioni interne critiche. Compromettere BIG-IP significa potenzialmente compromettere tutto ciò che sta dietro. E se un attaccante dispone di exploit zero-day specificamente costruiti contro versioni particolare del software, può selezionare i target con precisione millimetrica.
Le discussioni dei tecnici ruotano attorno a domande fondamentali: quanto codice esattamente è stato esfiltrato? Quali moduli, quali versioni? Gli attaccanti hanno avuto accesso ai repository git completi con tutta la history, o solo a snapshot puntuali? Hanno compromesso i sistemi di build e CI/CD, potenzialmente iniettando backdoor direttamente nel codice che viene compilato e distribuito? F5 non ha fornito questi livelli di dettaglio, probabilmente per ragioni di sicurezza operativa e perché l’indagine forense è ancora in corso.
La rotazione di certificati e chiavi crittografiche suggerisce che F5 stia operando sotto l’assunzione worst-case che gli attaccanti possano aver ottenuto accesso anche alle root CA interne, ai signing keys usati per firmare gli update del firmware, ai certificati usati per autenticare i sistemi di management. Se così fosse, gli attaccanti potrebbero teoricamente creare update malevoli firmati con chiavi valide, o condurre man-in-the-middle attack contro comunicazioni che si presumono autenticate e cifrate.
L’aspetto temporale rimane nebuloso. F5 ha scoperto l’intrusione il 9 agosto 2025, ma quando esattamente è iniziata? Bloomberg dice almeno dodici mesi, il che porterebbe il compromesso iniziale all’estate del 2024. Ma “almeno” è una qualifica importante. Le APT sono note per mantenere persistence mechanisms multipli, ridondanti e ben nascosti. È possibile che il foothold iniziale sia ancora più vecchio, e che agosto 2025 rappresenti solo il momento in cui gli attaccanti hanno commesso un errore procedurale o hanno scalato i privilegi in modo sufficientemente rumoroso da triggerare gli alerting systems.
La disclosure stessa solleva questioni interessanti. Il filing SEC richiede trasparenza verso gli investitori, ma bilancia questo con la necessità di non fornire agli attaccanti informazioni utili sul livello di conoscenza che i difensori hanno raggiunto. Il fatto che F5 abbia scelto di rendere pubblica la natura stato-nazione dell’attacco e di menzionare esplicitamente il furto di informazioni sulle vulnerabilità indica un calcolo di rischio: meglio avvertire l’ecosistema e accettare il reputation damage, piuttosto che lasciare i clienti esposti ignari.
La comunità della sicurezza sta ora speculando su quali potrebbero essere i prossimi passi degli attaccanti. Potrebbero weaponizzare le vulnerabilità scoperte e lanciarle contro target specifici? Potrebbero vendere o condividere gli exploit con altri gruppi affiliati? Potrebbero semplicemente mantenere l’accesso dormiente per attivarlo al momento opportuno? Oppure, come suggeriscono alcuni osservatori più cinici, potrebbero aver già utilizzato queste capacità in operazioni precedenti che semplicemente non sono state ancora scoperte o rese pubbliche.
L’incidente riaccende anche il dibattito sul ruolo delle vulnerabilità cosiddette “strategiche” negli arsenali cyber degli stati-nazione. Mentre l’industria e la comunità della sicurezza difensiva spingono per responsible disclosure e patching rapido, le agenzie di intelligence hanno incentivi opposti: conservare le vulnerabilità non patchate per uso operativo. Il Vulnerabilities Equities Process del governo USA è teoricamente progettato per bilanciare queste tensioni, ma casi come questo dimostrano che altri attori statali non operano sotto vincoli simili.
F5 si trova ora nella scomoda posizione di dover non solo rimediare all’intrusione e fortificare le proprie difese, ma anche ricostruire la fiducia con una customer base enterprise che si affida ai suoi prodotti per proteggere asset critici. Le chiamate agli earning calls dei prossimi trimestri saranno probabilmente dominate da domande sulla sicurezza, sui costi dell’incident response, su eventuali ripercussioni legali da parte di clienti impattati. Il mercato azionario ha già reagito, con il titolo F5 che ha perso terreno nelle sessioni successive alla disclosure.
Per l’industria nel suo complesso, l’incidente F5 rappresenta un altro promemoria che nessuna organizzazione, per quanto sofisticata, è immune dalle APT determinate e ben finanziate. Quando il tuo avversario ha il budget di uno stato-nazione, può permettersi di bruciare zero-day da centinaia di migliaia di dollari, di assegnare team di operatori full-time a un singolo target, di sviluppare malware custom che non sarà mai riusato e quindi difficilmente verrà mai analizzato dai ricercatori. La difesa contro minacce di questo calibro richiede non solo tecnologia avanzata, ma anche programmi di threat hunting proattivi, segmentazione rigorosa, monitoring comportamentale, intelligence sharing e, forse più importante, l’umiltà di assumere che la compromissione sia non solo possibile ma probabile.