La vulnerabilidad crítica CVE-2026-20127 (CVSS 10.0) en los componentes de gestión de Cisco Catalyst SD-WAN se utilizó para instalar el malware especializado KeyDrift, diseñado para interceptar claves de cifrado del tráfico intersitios. Según los datos de Cisco Talos, publicados el 28 de octubre, los ataques afectaron a organizaciones de los sectores de servicios espaciales y satelitales, tecnologías de defensa y aeroespaciales, así como de investigación política. La vulnerabilidad permite que un atacante remoto no autenticado eluda la autenticación y obtenga privilegios administrativos en los controladores, gestores y validadores de SD-WAN, es decir, en los tres componentes clave de la plano de control. Las organizaciones que utilizan Cisco SD-WAN no solo deben instalar el parche, sino también investigar si se produjo una posible intrusión: Cisco diferencia el procedimiento de recuperación para sistemas “limpios” y sistemas con indicios de compromiso. Anteriormente ya habíamos escrito sobre la explotación de esta vulnerabilidad.
Vulnerabilidad: criticidad máxima
Según el aviso de seguridad de Cisco, CVE-2026-20127 se clasifica como CWE-287 (elusión de autenticación) con la puntuación CVSS máxima de 10.0. La vulnerabilidad permite que un atacante remoto no autenticado eluda el mecanismo de autenticación entre pares, obtenga privilegios administrativos y, a través de NETCONF, manipule la configuración de la “fábrica” SD-WAN. El atacante entra en el sistema con una cuenta interna de altos privilegios que no es root.
Se ven afectados los tres componentes de gestión, independientemente de la configuración:
- Cisco Catalyst SD-WAN Controller (antes vSmart)
- Cisco Catalyst SD-WAN Manager (antes vManage)
- Cisco Catalyst SD-WAN Validator (antes vBond)
La superficie de la vulnerabilidad es más amplia de lo que puede parecer a primera vista: no solo se ven afectados los despliegues locales, sino también los entornos en la nube Cisco Hosted SD-WAN Cloud, Cisco Managed y FedRAMP. La vulnerabilidad se ha incluido en el catálogo CISA Known Exploited Vulnerabilities con fecha de incorporación del 25 de febrero de 2026. No existe solución temporal.
Versiones de software corregidas: 20.9.8.2 (para 20.9 y anteriores), 20.12.5.3 (para 20.12), 20.15.4.2 (para 20.13–20.15) y 20.18.2.1 (para 20.16 y 20.18). Las ramas 20.11, 20.13, 20.14 y 20.16 han llegado al final de su soporte, por lo que es necesaria la migración a una versión soportada.
KeyDrift: arquitectura de interceptación de claves
Según la evaluación de Talos, el framework malicioso KeyDrift actúa dentro de los procesos de la plano de control de SD-WAN y consta de dos componentes principales.
PolyFlame es un módulo residente que se ejecuta en la memoria del proceso vdaemon (este proceso da servicio a las conexiones de gestión cifradas entre controladores y routers). PolyFlame funciona como una puerta trasera con capacidades similares a TinyShell: ejecución de comandos, lectura y escritura de archivos, así como retransmisión de comandos entre el servidor de gestión y otras máquinas. Según Talos, las muestras analizadas no contenían direcciones codificadas de servidores de gestión: los comandos se reciben dentro del tráfico de gestión de SD-WAN.
LittleFilch es el componente que, según la valoración de Talos, intercepta las llamadas a SSL_read dentro de vdaemon y extrae de los mensajes de gestión descifrados un campo de 32 bytes. Talos evalúa este campo como material de claves AES-256 que el controlador transmite entre routers mediante el protocolo OMP. Los datos recopilados se cifran con RSA y se escriben en el archivo /var/tmp/vdaemon.bin, tras lo cual pueden enviarse por UDP a la dirección especificada en un archivo de configuración. Talos no pudo recuperar este archivo de configuración, por lo que no existe confirmación independiente de una exfiltración de claves exitosa.
El mecanismo de persistencia en el sistema se implementa mediante la modificación de scripts de runit. En el controlador comprometido, el script de inicio del servicio SSH invoca el cargador conf_sshd, que escribe los identificadores de proceso de vdaemon, y el inyector rsshd inserta PolyFlame en cada uno de ellos. En el validador se crea un servicio falso /etc/sv/aaamgr/ con el cargador compilado aaamgrd, mientras que el componente legítimo aaamgr es un paquete de Python. Los atacantes también utilizaron la manipulación de marcas temporales de archivos para camuflar su actividad.
Atribución: dos clústeres de actividad
Talos rastrea a los operadores de KeyDrift como UAT-11473 y evalúa con un alto grado de confianza que su infraestructura “se solapa significativamente” con la red Silent Train, nombre que Lumen Black Lotus Labs da a la red de dispositivos SOHO y equipos IoT comprometidos. Según Lumen y, anteriormente, CISA, la NSA y el FBI, la red Silent Train fue utilizada por el grupo Volt Typhoon, al que los servicios de inteligencia estadounidenses identifican como un grupo cibernético estatal chino.
Sin embargo, es importante diferenciar dos clústeres de actividad. Talos relaciona UAT-11473 con Volt Typhoon únicamente a través de la coincidencia de infraestructura, sin afirmar que se trate del mismo grupo. Por separado, Lumen informa de que Volt Typhoon explotó CVE-2026-20127 desde finales de 2025 y continuó haciéndolo después de la divulgación de la vulnerabilidad en febrero, pero no vincula esta actividad con KeyDrift. Así, nos encontramos ante dos flujos paralelos de explotación de la misma vulnerabilidad, cuya relación sigue sin estar establecida.
Detección y respuesta
Cisco y Talos proporcionan varias herramientas de detección que conviene aplicar de forma combinada:
- Revisión de logs de autenticación: buscar en
/var/log/auth.loglas entradasAccepted publickey for vmanage-admindesde direcciones IP desconocidas - Recopilación de diagnósticos: ejecutar
request admin-techen cada componente de gestión antes de contactar con TAC - Reglas Snort: Talos ha publicado reglas para detectar conexiones C2 de KeyDrift: SID 67387–67416 (Snort 2) y 7:44–7:73 (Snort 3). Las reglas para Snort 2 están desactivadas por defecto y requieren activación explícita. Las reglas 65938 y 65958 cubren la propia vulnerabilidad CVE-2026-20127
- Indicadores de archivo de KeyDrift: script
runmodificado en/etc/sv/sshd/, directorio/etc/sv/aaamgr/, archivosaaamgrd,conf_sshd,rsshd,libdssl.so(PolyFlame),libcommon.so(LittleFilch),/tmp/system-vdaemon,/var/tmp/vdaemon.bin,/var/tmp/vdaemon.conf
Talos no ha publicado hashes de archivos, direcciones IP ni dominios relacionados con KeyDrift, lo que limita las posibilidades de detección a nivel de red.
Recomendaciones de mitigación
Según la guía de recuperación de Cisco, el procedimiento varía en función de la presencia de indicadores de compromiso. Los sistemas sin indicios de intrusión pueden actualizarse a una versión corregida. Los sistemas en los que se han detectado indicadores requieren trabajar con TAC/PSIRT: la actualización por sí sola no elimina el KeyDrift ya instalado, tal y como advierte expresamente la guía.
Antes de instalar las actualizaciones en sistemas locales, Cisco recomienda limitar el acceso a los puertos 22 y 830 exclusivamente a las direcciones IP de los controladores conocidos. Esta medida se ha probado por Cisco en condiciones de laboratorio, pero su efectividad en un entorno concreto debe verificarse de forma independiente. Para despliegues en la nube de Cisco, estas restricciones ya están en vigor.
Para las agencias civiles federales de EE. UU. está en vigor la directiva de emergencia CISA ED-26-03: en caso de detectar compromiso de la cuenta root, es obligatorio notificar a CISA, desplegar nuevos ejemplares de Manager, Controller y Validator a partir de imágenes parcheadas y migrar los routers perimetrales a los nuevos sistemas.
CVE-2026-20127 es un caso en el que una sola actualización no basta. Las organizaciones que utilizan Cisco Catalyst SD-WAN en cualquier configuración de despliegue deben comprobar la existencia de indicadores de KeyDrift, recopilar diagnósticos mediante request admin-tech, activar las reglas Snort para detectar el tráfico C2 y, si se detectan indicios de compromiso, ponerse en contacto con Cisco TAC para una recuperación supervisada, en lugar de limitarse a instalar el parche.
