Критична вразливість CVE-2026-20127 (CVSS 10.0) у компонентах керування Cisco Catalyst SD-WAN використовувалася для встановлення спеціалізованого шкідливого ПЗ KeyDrift, призначеного для перехоплення ключів шифрування міжсайтового трафіку. За даними Cisco Talos, опублікованими 28 жовтня, атаки зачепили організації із секторів космічних і супутникових послуг, оборонних та аерокосмічних технологій, а також політичних досліджень. Вразливість дає змогу віддаленому неавтентифікованому зловмиснику обійти автентифікацію й отримати адміністративні привілеї на контролерах, менеджерах і валідаторах SD-WAN — усіх трьох ключових компонентах площини керування. Організаціям, що використовують Cisco SD-WAN, необхідно не просто встановити патч, а провести розслідування щодо компрометації: Cisco розділяє процедуру відновлення для «чистих» систем і систем з ознаками зламу. Раніше ми вже писали про експлуатацію цієї вразливості.
Вразливість: максимальна критичність
Згідно з бюлетенем Cisco, CVE-2026-20127 класифікується як CWE-287 (обхід автентифікації) з максимальною оцінкою CVSS 10.0. Вразливість дозволяє віддаленому неавтентифікованому зловмиснику обійти механізм пірингової автентифікації, отримати адміністративні привілеї й через NETCONF маніпулювати конфігурацією SD-WAN-фабрики. Зловмисник входить у систему під високопривілейованим внутрішнім обліковим записом, який не є root.
Уражені всі три компоненти керування незалежно від конфігурації:
- Cisco Catalyst SD-WAN Controller (раніше vSmart)
- Cisco Catalyst SD-WAN Manager (раніше vManage)
- Cisco Catalyst SD-WAN Validator (раніше vBond)
Периметр вразливості ширший, ніж може здатися на перший погляд: уражені не лише локальні розгортання, а й хмарні середовища Cisco Hosted SD-WAN Cloud, Cisco Managed і FedRAMP. Вразливість внесено до каталогу CISA Known Exploited Vulnerabilities з датою додавання 25 лютого 2026 року. Тимчасового рішення не існує.
Виправлені версії ПЗ: 20.9.8.2 (для 20.9 і більш ранніх), 20.12.5.3 (для 20.12), 20.15.4.2 (для 20.13–20.15) і 20.18.2.1 (для 20.16 і 20.18). Гілки 20.11, 20.13, 20.14 і 20.16 досягли кінця підтримки — для них необхідна міграція на підтримувану версію.
KeyDrift: архітектура перехоплення ключів
За оцінкою Talos, шкідливий фреймворк KeyDrift діє всередині процесів площини керування SD-WAN і складається з двох основних компонентів.
PolyFlame — резидентний модуль, що працює в пам’яті процесу vdaemon (цей процес обслуговує зашифровані керувальні з’єднання між контролерами та маршрутизаторами). PolyFlame функціонує як бекдор з можливостями, подібними до TinyShell: виконання команд, читання й запис файлів, а також ретрансляція команд між сервером керування та іншими машинами. За даними Talos, проаналізовані зразки не містили жорстко заданих адрес серверів керування — команди приймаються всередині керувального трафіку SD-WAN.
LittleFilch — компонент, який, за оцінкою Talos, перехоплює виклики SSL_read усередині vdaemon і витягує з розшифрованих керувальних повідомлень 32-байтове поле. Talos оцінює це поле як матеріал ключів AES-256, який контролер передає між маршрутизаторами через протокол OMP. Зібрані дані шифруються RSA і записуються до файлу /var/tmp/vdaemon.bin, після чого можуть бути надіслані через UDP на адресу з конфігураційного файла. Talos не зміг відновити цей конфігураційний файл, тому незалежного підтвердження успішної ексфільтрації ключів немає.
Закріплення в системі здійснюється через модифікацію скриптів runit. На скомпрометованому контролері скрипт запуску служби SSH викликає завантажувач conf_sshd, який записує ідентифікатори процесів vdaemon, а інжектор rsshd впроваджує PolyFlame у кожен із них. На валідаторі створюється підроблений сервіс /etc/sv/aaamgr/ зі скомпільованим завантажувачем aaamgrd — тоді як штатний компонент aaamgr є Python-пакетом. Зловмисники також застосовували підміну часових позначок файлів для маскування.
Атрибуція: два кластери активності
Talos відстежує операторів KeyDrift як UAT-11473 і оцінює з високим ступенем упевненості, що їхня інфраструктура «суттєво перетинається» з мережею Silent Train — так Lumen Black Lotus Labs називає мережу скомпрометованих SOHO-пристроїв та IoT-обладнання. За даними Lumen, а раніше CISA, NSA та ФБР, мережа Silent Train використовувалася угрупованням Volt Typhoon, яке американські спецслужби ідентифікували як китайську державну кібергрупу.
Водночас важливо розмежовувати два кластери активності. Talos пов’язує UAT-11473 з Volt Typhoon виключно через збіг інфраструктури — не стверджуючи, що це одна і та сама група. Окремо Lumen повідомляє, що Volt Typhoon експлуатував CVE-2026-20127 з кінця 2025 року і продовжив після розкриття вразливості у лютому, але не пов’язує цю активність із KeyDrift. Таким чином, маємо два паралельні потоки експлуатації однієї вразливості, зв’язок між якими залишається невстановленим.
Виявлення та реагування
Cisco і Talos надають кілька інструментів виявлення, які варто застосовувати комплексно:
- Перевірка журналів автентифікації: шукати в
/var/log/auth.logзаписиAccepted publickey for vmanage-adminз невідомих IP-адрес - Збір діагностики: виконати
request admin-techна кожному компоненті керування перед зверненням до TAC - Правила Snort: Talos випустив правила для виявлення C2-з’єднань KeyDrift — SID 67387–67416 (Snort 2) і 7:44–7:73 (Snort 3). Правила для Snort 2 вимкнені за замовчуванням і потребують явної активації. Правила 65938 і 65958 покривають саму вразливість CVE-2026-20127
- Файлові індикатори KeyDrift: модифікований скрипт
runу/etc/sv/sshd/, каталог/etc/sv/aaamgr/, файлиaaamgrd,conf_sshd,rsshd,libdssl.so(PolyFlame),libcommon.so(LittleFilch),/tmp/system-vdaemon,/var/tmp/vdaemon.bin,/var/tmp/vdaemon.conf
Talos не опублікував хеші файлів, IP-адреси чи домени, пов’язані з KeyDrift, що обмежує можливості мережевого виявлення.
Рекомендації щодо усунення
Згідно з керівництвом із відновлення Cisco, процедура відрізняється залежно від наявності індикаторів компрометації. Системи без ознак зламу можуть бути оновлені до виправленої версії. Системи, у яких виявлено індикатори, потребують роботи з TAC/PSIRT — саме оновлення не видаляє уже встановлений KeyDrift, про що прямо попереджає керівництво.
До встановлення оновлень на локальних системах Cisco рекомендує обмежити доступ до портів 22 і 830 лише IP-адресами відомих контролерів. Цей захід протестовано Cisco в лабораторних умовах, але його ефективність у конкретному середовищі необхідно перевіряти самостійно. Для хмарних розгортань Cisco такі обмеження вже діють.
Для федеральних цивільних агентств США діє екстрена директива CISA ED-26-03: у разі виявлення компрометації root-облікового запису необхідно повідомити CISA, розгорнути нові екземпляри Manager, Controller і Validator із пропатчених образів і перевести прикордонні маршрутизатори на нові системи.
CVE-2026-20127 — це випадок, коли одного оновлення недостатньо. Організаціям, що використовують Cisco Catalyst SD-WAN у будь-якій конфігурації розгортання, необхідно перевірити наявність індикаторів KeyDrift, зібрати діагностику через request admin-tech, активувати правила Snort для виявлення C2-трафіку й у разі виявлення ознак компрометації — звернутися до Cisco TAC для керованого відновлення, а не обмежуватися встановленням патча.
