Критическая уязвимость Cisco SD-WAN CVE-2026-20127 снова оказалась в руках атакующих: новая APT-группа UAT-11473 применяет её для установки вредоносного фреймворка KeyDrift на контроллеры Catalyst SD-WAN. Риск не сводится к захвату сетевого устройства: вредонос способен перехватывать расшифрованный служебный трафик и извлекать материал ключей IPsec.
Об активности UAT-11473 сообщает BleepingComputer со ссылкой на исследование Cisco Talos. Cisco исправила CVE-2026-20127 ещё в феврале 2026 года, однако доступный патч не помогает организациям, которые отложили обновление управляющих компонентов WAN или не проверили, не появился ли в инфраструктуре посторонний peer.
CVE-2026-20127 получила максимальный уровень критичности. Ошибка обхода аутентификации позволяет удалённому атакующему получить привилегированный доступ к Cisco Catalyst SD-WAN Controller и Manager, а затем добавить в сеть несанкционированных участников. Это особенно неприятный класс уязвимостей: контроллер управляет не отдельной веткой, а доверительными отношениями между узлами распределённой сети.
По данным Talos, целью UAT-11473 стали организации из космической и спутниковой отрасли, оборонного и аэрокосмического технологического сектора, а также исследовательские центры, работающие с вопросами политики. Исследователи видят пересечения с сетью скрытого доступа Silent Train, которую связывают с китайской группировкой Volt Typhoon, но прямую атрибуцию UAT-11473 ей не дают. Для защитников это важная оговорка: совпадение инфраструктуры или техник ещё не означает, что перед ними тот же оператор.
Сама уязвимость не нова для целевых атак. Кластер UAT-8616, по сведениям исследователей, эксплуатировал её как zero-day как минимум с 2023 года. Недавние исследования также связали эксплуатацию CVE-2026-20127 с Volt Typhoon. Публичный патч меняет расстановку сил, но не отменяет уже полученный злоумышленниками доступ: если контроллер был скомпрометирован до обновления, одной установки новой версии недостаточно.
KeyDrift создан именно для работы на экземплярах контроллера Cisco SD-WAN. Talos с высокой уверенностью оценивает его назначение как долговременное закрепление и автоматизированный вынос чувствительного криптографического материала. Фреймворк действует внутри процессов control plane, где трафик уже расшифрован. Поэтому шифрование канала само по себе не спасает, если атакующий получил возможность исполнять код на узле, который этот канал обслуживает.
У KeyDrift два основных компонента. PolyFlame внедряется в легитимный процесс vdaemon: для запуска применяются изменённые сценарии старта службы и инжектор. Компонент умеет выполнять команды, передавать файлы в обе стороны и проксировать связь между управляющим сервером атакующих и несколькими узлами. Исследователи также заметили признаки активной доработки инструмента — новые механизмы антиотладки и разные варианты маскировки под процессы.
Второй модуль, LittleFilch, нацелен на перехват управляющей сессии. Он перехватывает вызов SSL_read и анализирует сообщения control plane после расшифровки внутри контроллера. Для заранее определённых edge-узлов модуль извлекает IP-идентификаторы и поле длиной 32 байта, которое Talos считает ключевым материалом AES-256 для IPsec data plane. Добытые данные шифруются RSA, сохраняются в файле /var/tmp/vdaemon.bin, после чего отправляются атакующим по UDP.
Для сетевых команд главный вывод практичен и довольно неприятен: уязвимость Cisco SD-WAN нужно закрыть не только обновлением, но и расследованием. Следует сверить версии Controller и Manager с рекомендациями вендора, проверить конфигурацию peers и учётные записи с привилегиями, проанализировать изменения стартовых сценариев и работу процессов vdaemon. Отдельного внимания заслуживают обращения к /var/tmp/vdaemon.bin, нетипичные UDP-соединения и признаки внедрения в легитимные сервисы.
Разработчикам и владельцам инфраструктуры эта история напоминает о цене компрометации control plane. Получив ключевой материал и метаданные сессий, противник может расширить возможности для наблюдения за сетью и последующих атак. Чем больше филиалов, облачных площадок и подрядчиков объединено SD-WAN, тем важнее отделять план управления от обычной эксплуатации, ограничивать доступ к нему и регулярно искать следы уже состоявшегося проникновения.
Патч для CVE-2026-20127 доступен, а Cisco рекомендует дополнительно использовать руководство по усилению защиты Catalyst SD-WAN. Но появление специализированного KeyDrift показывает более широкий тренд: сетевые контроллеры становятся не просто точкой входа, а высокоценной площадкой для кражи доверительных данных. Вопрос для команд безопасности теперь не только в том, обновлён ли контроллер, но и в том, можно ли доказать, что он не успел стать частью чужой инфраструктуры доступа.
