Die kritische Schwachstelle CVE-2026-20127 (CVSS 10.0) in den Management-Komponenten von Cisco Catalyst SD-WAN wurde zur Installation der spezialisierten Malware KeyDrift genutzt, die für das Abfangen der Verschlüsselungsschlüssel des standortübergreifenden Datenverkehrs entwickelt wurde. Nach Angaben von Cisco Talos, die am 28. Oktober veröffentlicht wurden, betrafen die Angriffe Organisationen aus den Bereichen Raumfahrt- und Satellitendienste, Verteidigungs- und Luft- und Raumfahrttechnologien sowie politische Forschung. Die Schwachstelle ermöglicht es einem nicht authentifizierten entfernten Angreifer, die Authentifizierung zu umgehen und Administratorrechte auf SD-WAN-Controllern, -Managern und -Validatoren zu erlangen – allen drei Schlüsselkomponenten der Control-Plane. Organisationen, die Cisco SD-WAN einsetzen, müssen nicht nur den Patch installieren, sondern auch eine Untersuchung auf Kompromittierung durchführen: Cisco unterscheidet im Wiederherstellungsprozess zwischen „sauberen“ Systemen und Systemen mit Anzeichen eines Einbruchs. Zuvor haben wir bereits über die Ausnutzung dieser Schwachstelle berichtet.
Schwachstelle: maximale Kritikalität
Dem Sicherheitshinweis von Cisco zufolge wird CVE-2026-20127 als CWE-287 (Umgehung der Authentifizierung) mit der maximalen CVSS-Bewertung 10.0 eingestuft. Die Schwachstelle erlaubt es einem entfernten, nicht authentifizierten Angreifer, den Mechanismus der Peering-Authentifizierung zu umgehen, Administratorrechte zu erlangen und über NETCONF die Konfiguration der SD-WAN-Fabric zu manipulieren. Der Angreifer meldet sich unter einem hochprivilegierten internen Konto an, das kein Root-Konto ist.
Unabhängig von der Konfiguration sind alle drei Management-Komponenten betroffen:
- Cisco Catalyst SD-WAN Controller (früher vSmart)
- Cisco Catalyst SD-WAN Manager (früher vManage)
- Cisco Catalyst SD-WAN Validator (früher vBond)
Der Angriffsperimeter der Schwachstelle ist größer, als es auf den ersten Blick erscheint: Betroffen sind nicht nur lokale Bereitstellungen, sondern auch Cloud-Umgebungen wie Cisco Hosted SD-WAN Cloud, Cisco Managed und FedRAMP. Die Schwachstelle ist seit dem 25. Februar 2026 im CISA-Katalog Known Exploited Vulnerabilities gelistet. Es existiert kein Workaround.
Behobene Software-Versionen sind: 20.9.8.2 (für 20.9 und älter), 20.12.5.3 (für 20.12), 20.15.4.2 (für 20.13–20.15) und 20.18.2.1 (für 20.16 und 20.18). Die Zweige 20.11, 20.13, 20.14 und 20.16 haben das Support-Ende erreicht – für sie ist eine Migration auf eine unterstützte Version erforderlich.
KeyDrift: Architektur zur Abfangung von Schlüsseln
Nach Einschätzung von Talos agiert das bösartige Framework KeyDrift innerhalb der Prozesse der SD-WAN-Control-Plane und besteht aus zwei Hauptkomponenten.
PolyFlame ist ein residentes Modul, das im Speicher des Prozesses vdaemon arbeitet (dieser Prozess bedient verschlüsselte Management-Verbindungen zwischen Controllern und Routern). PolyFlame fungiert als Backdoor mit Fähigkeiten, die TinyShell ähneln: Ausführung von Befehlen, Lesen und Schreiben von Dateien sowie Weiterleitung von Befehlen zwischen dem Steuerungsserver und anderen Maschinen. Den Angaben von Talos zufolge enthielten die analysierten Samples keine hartkodierten Adressen von Steuerungsservern – Befehle werden innerhalb des SD-WAN-Management-Datenverkehrs empfangen.
LittleFilch ist eine Komponente, die nach Einschätzung von Talos Aufrufe von SSL_read innerhalb von vdaemon abfängt und aus entschlüsselten Management-Nachrichten ein 32-Byte-Feld extrahiert. Talos geht davon aus, dass es sich bei diesem Feld um AES-256-Schlüsselmaterial handelt, das der Controller über das OMP-Protokoll zwischen Routern überträgt. Die gesammelten Daten werden per RSA verschlüsselt und in die Datei /var/tmp/vdaemon.bin geschrieben, wonach sie per UDP an eine im Konfigurationsfile hinterlegte Adresse gesendet werden können. Talos konnte dieses Konfigurationsfile nicht rekonstruieren, daher gibt es keinen unabhängigen Nachweis einer gelungenen Exfiltration der Schlüssel.
Die Persistenz im System wird über modifizierte runit-Skripte erreicht. Auf einem kompromittierten Controller ruft das Startskript des SSH-Dienstes den Loader conf_sshd auf, der die Prozess-IDs von vdaemon schreibt, und der Injector rsshd injiziert PolyFlame in jeden dieser Prozesse. Auf dem Validator wird ein gefälschter Dienst /etc/sv/aaamgr/ mit dem kompilierten Loader aaamgrd erstellt – während die reguläre Komponente aaamgr ein Python-Paket ist. Die Angreifer setzten außerdem eine Manipulation von Dateizeitstempeln zur Verschleierung ein.
Attribution: zwei Aktivitätscluster
Talos verfolgt die Betreiber von KeyDrift unter der Bezeichnung UAT-11473 und geht mit hoher Zuversicht davon aus, dass sich deren Infrastruktur „erheblich“ mit dem Netzwerk Silent Train überschneidet – so bezeichnet Lumen Black Lotus Labs das Netzwerk kompromittierter SOHO-Geräte und IoT-Hardware. Nach Angaben von Lumen sowie zuvor von CISA, NSA und FBI wurde das Netzwerk Silent Train von der Gruppe Volt Typhoon genutzt, die von US-Geheimdiensten als staatlich unterstützte chinesische Cybergruppe eingestuft wurde.
Es ist jedoch wichtig, die beiden Aktivitätscluster voneinander zu trennen. Talos bringt UAT-11473 mit Volt Typhoon ausschließlich über Überschneidungen in der Infrastruktur in Verbindung – ohne zu behaupten, dass es sich um dieselbe Gruppe handelt. Separat berichtet Lumen, dass Volt Typhoon CVE-2026-20127 seit Ende 2025 ausnutzte und dies auch nach der Offenlegung der Schwachstelle im Februar fortsetzte, zieht jedoch keine Verbindung zwischen dieser Aktivität und KeyDrift. Damit sehen wir zwei parallele Stränge der Ausnutzung derselben Schwachstelle, deren Zusammenhang bislang ungeklärt ist.
Erkennung und Reaktion
Cisco und Talos stellen mehrere Erkennungsinstrumente bereit, die möglichst kombiniert eingesetzt werden sollten:
- Prüfung der Authentifizierungslogs: In
/var/log/auth.lognach EinträgenAccepted publickey for vmanage-adminvon unbekannten IP-Adressen suchen - Diagnose sammeln:
request admin-techauf jeder Management-Komponente ausführen, bevor ein TAC-Ticket eröffnet wird - Snort-Regeln: Talos hat Regeln zur Erkennung von C2-Verbindungen von KeyDrift veröffentlicht – SID 67387–67416 (Snort 2) und 7:44–7:73 (Snort 3). Die Regeln für Snort 2 sind standardmäßig deaktiviert und müssen explizit aktiviert werden. Die Regeln 65938 und 65958 decken die Schwachstelle CVE-2026-20127 selbst ab
- Datei-Indikatoren für KeyDrift: modifiziertes Skript
runin/etc/sv/sshd/, Verzeichnis/etc/sv/aaamgr/, Dateienaaamgrd,conf_sshd,rsshd,libdssl.so(PolyFlame),libcommon.so(LittleFilch),/tmp/system-vdaemon,/var/tmp/vdaemon.bin,/var/tmp/vdaemon.conf
Talos hat keine Dateihashes, IP-Adressen oder Domains veröffentlicht, die mit KeyDrift in Verbindung stehen, was die Möglichkeiten der netzwerkbasierten Erkennung einschränkt.
Empfehlungen zur Beseitigung
Dem Wiederherstellungsleitfaden von Cisco zufolge hängt das Verfahren davon ab, ob Indikatoren einer Kompromittierung vorliegen. Systeme ohne Anzeichen eines Einbruchs können auf eine gepatchte Version aktualisiert werden. Systeme mit erkannten Indikatoren erfordern die Zusammenarbeit mit TAC/PSIRT – das Update allein entfernt eine bereits installierte KeyDrift-Infektion nicht, worauf der Leitfaden ausdrücklich hinweist.
Vor der Installation von Updates in lokalen Umgebungen empfiehlt Cisco, den Zugriff auf die Ports 22 und 830 ausschließlich auf IP-Adressen bekannter Controller zu beschränken. Diese Maßnahme wurde von Cisco unter Laborbedingungen getestet, ihre Wirksamkeit in einer konkreten Umgebung muss jedoch eigenständig überprüft werden. Für Cloud-Bereitstellungen von Cisco gelten solche Einschränkungen bereits.
Für zivile Bundesbehörden der USA gilt die Notfall-Direktive CISA ED-26-03: Bei Feststellung einer Kompromittierung des Root-Accounts ist CISA zu benachrichtigen, neue Instanzen von Manager, Controller und Validator aus gepatchten Images zu deployen und die Edge-Router auf diese neuen Systeme zu migrieren.
CVE-2026-20127 ist ein Fall, in dem ein einzelnes Update nicht ausreicht. Organisationen, die Cisco Catalyst SD-WAN in beliebiger Bereitstellungskonfiguration nutzen, müssen auf Indikatoren für KeyDrift prüfen, Diagnosedaten über request admin-tech sammeln, Snort-Regeln zur Erkennung von C2-Datenverkehr aktivieren und sich bei Anzeichen einer Kompromittierung an Cisco TAC wenden, um eine gesteuerte Wiederherstellung durchzuführen, anstatt sich auf die bloße Installation des Patches zu beschränken.
