Критическая уязвимость CVE-2026-20127 (CVSS 10.0) в компонентах управления Cisco Catalyst SD-WAN использовалась для установки специализированного вредоносного ПО KeyDrift, предназначенного для перехвата ключей шифрования межсайтового трафика. По данным Cisco Talos, опубликованным 28 октября, атаки затронули организации из секторов космических и спутниковых услуг, оборонных и аэрокосмических технологий, а также политических исследований. Уязвимость позволяет неаутентифицированному удалённому злоумышленнику обойти аутентификацию и получить административные привилегии на контроллерах, менеджерах и валидаторах SD-WAN — всех трёх ключевых компонентах плоскости управления. Организациям, использующим Cisco SD-WAN, необходимо не просто установить патч, а провести расследование на предмет компрометации: Cisco разделяет процедуру восстановления для «чистых» систем и систем с признаками взлома. Ранее мы уже писали об эксплуатации этой уязвимости.
Уязвимость: максимальная критичность
Согласно бюллетеню Cisco, CVE-2026-20127 классифицируется как CWE-287 (обход аутентификации) с максимальной оценкой CVSS 10.0. Уязвимость позволяет удалённому неаутентифицированному атакующему обойти механизм пиринговой аутентификации, получить административные привилегии и через NETCONF манипулировать конфигурацией SD-WAN-фабрики. Атакующий входит в систему под высокопривилегированной внутренней учётной записью, не являющейся root.
Затронуты все три компонента управления вне зависимости от конфигурации:
- Cisco Catalyst SD-WAN Controller (ранее vSmart)
- Cisco Catalyst SD-WAN Manager (ранее vManage)
- Cisco Catalyst SD-WAN Validator (ранее vBond)
Периметр уязвимости шире, чем может показаться при первом прочтении: затронуты не только локальные развёртывания, но и облачные среды Cisco Hosted SD-WAN Cloud, Cisco Managed и FedRAMP. Уязвимость внесена в каталог CISA Known Exploited Vulnerabilities с датой добавления 25 февраля 2026 года. Обходного решения не существует.
Исправленные версии ПО: 20.9.8.2 (для 20.9 и более ранних), 20.12.5.3 (для 20.12), 20.15.4.2 (для 20.13–20.15) и 20.18.2.1 (для 20.16 и 20.18). Ветки 20.11, 20.13, 20.14 и 20.16 достигли конца поддержки — для них необходима миграция на поддерживаемую версию.
KeyDrift: архитектура перехвата ключей
По оценке Talos, вредоносный фреймворк KeyDrift действует внутри процессов плоскости управления SD-WAN и состоит из двух основных компонентов.
PolyFlame — резидентный модуль, работающий в памяти процесса vdaemon (этот процесс обслуживает зашифрованные управляющие соединения между контроллерами и маршрутизаторами). PolyFlame функционирует как бэкдор с возможностями, аналогичными TinyShell: выполнение команд, чтение и запись файлов, а также ретрансляция команд между сервером управления и другими машинами. По данным Talos, проанализированные образцы не содержали жёстко заданных адресов серверов управления — команды принимаются внутри управляющего трафика SD-WAN.
LittleFilch — компонент, который, по оценке Talos, перехватывает вызовы SSL_read внутри vdaemon и извлекает из расшифрованных управляющих сообщений 32-байтовое поле. Talos оценивает это поле как материал ключей AES-256, который контроллер передаёт между маршрутизаторами через протокол OMP. Собранные данные шифруются RSA и записываются в файл /var/tmp/vdaemon.bin, после чего могут быть отправлены по UDP на адрес из конфигурационного файла. Talos не смог восстановить этот конфигурационный файл, поэтому независимого подтверждения успешной эксфильтрации ключей нет.
Закрепление в системе осуществляется через модификацию скриптов runit. На скомпрометированном контроллере скрипт запуска SSH-сервиса вызывает загрузчик conf_sshd, который записывает идентификаторы процессов vdaemon, а инжектор rsshd внедряет PolyFlame в каждый из них. На валидаторе создаётся поддельный сервис /etc/sv/aaamgr/ с компилированным загрузчиком aaamgrd — в то время как штатный компонент aaamgr является Python-пакетом. Атакующие также применяли подмену временных меток файлов для маскировки.
Атрибуция: два кластера активности
Talos отслеживает операторов KeyDrift как UAT-11473 и оценивает с высокой степенью уверенности, что их инфраструктура «значительно пересекается» с сетью Silent Train — так Lumen Black Lotus Labs называет сеть скомпрометированных SOHO-устройств и IoT-оборудования. По данным Lumen и ранее CISA, NSA и ФБР, сеть Silent Train использовалась группировкой Volt Typhoon, которую американские спецслужбы идентифицировали как китайскую государственную кибергруппу.
Однако важно разграничивать два кластера активности. Talos связывает UAT-11473 с Volt Typhoon исключительно через совпадение инфраструктуры — не утверждая, что это одна группа. Отдельно Lumen сообщает, что Volt Typhoon эксплуатировал CVE-2026-20127 с конца 2025 года и продолжил после раскрытия уязвимости в феврале, но не связывает эту активность с KeyDrift. Таким образом, перед нами два параллельных потока эксплуатации одной уязвимости, связь между которыми остаётся неустановленной.
Обнаружение и реагирование
Cisco и Talos предоставляют несколько инструментов обнаружения, которые стоит применять комплексно:
- Проверка логов аутентификации: искать в
/var/log/auth.logзаписиAccepted publickey for vmanage-adminот неизвестных IP-адресов - Сбор диагностики: выполнить
request admin-techна каждом компоненте управления до обращения в TAC - Правила Snort: Talos выпустил правила для обнаружения C2-соединений KeyDrift — SID 67387–67416 (Snort 2) и 7:44–7:73 (Snort 3). Правила для Snort 2 отключены по умолчанию и требуют явной активации. Правила 65938 и 65958 покрывают саму уязвимость CVE-2026-20127
- Файловые индикаторы KeyDrift: модифицированный скрипт
runв/etc/sv/sshd/, каталог/etc/sv/aaamgr/, файлыaaamgrd,conf_sshd,rsshd,libdssl.so(PolyFlame),libcommon.so(LittleFilch),/tmp/system-vdaemon,/var/tmp/vdaemon.bin,/var/tmp/vdaemon.conf
Talos не опубликовал хеши файлов, IP-адреса или домены, связанные с KeyDrift, что ограничивает возможности сетевого обнаружения.
Рекомендации по устранению
Согласно руководству по восстановлению Cisco, процедура различается в зависимости от наличия индикаторов компрометации. Системы без признаков взлома могут быть обновлены до исправленной версии. Системы с обнаруженными индикаторами требуют работы с TAC/PSIRT — само обновление не удаляет уже установленный KeyDrift, о чём прямо предупреждает руководство.
До установки обновлений на локальных системах Cisco рекомендует ограничить доступ к портам 22 и 830 только IP-адресами известных контроллеров. Эта мера протестирована Cisco в лабораторных условиях, но её эффективность в конкретной среде необходимо проверять самостоятельно. Для облачных развёртываний Cisco такие ограничения уже действуют.
Для федеральных гражданских агентств США действует экстренная директива CISA ED-26-03: при обнаружении компрометации root-аккаунта необходимо уведомить CISA, развернуть свежие экземпляры Manager, Controller и Validator из пропатченных образов и перевести пограничные маршрутизаторы на новые системы.
CVE-2026-20127 — это случай, когда одного обновления недостаточно. Организациям, использующим Cisco Catalyst SD-WAN в любой конфигурации развёртывания, необходимо провести проверку на индикаторы KeyDrift, собрать диагностику через request admin-tech, активировать правила Snort для обнаружения C2-трафика и при обнаружении признаков компрометации — обратиться в Cisco TAC для управляемого восстановления, а не ограничиваться установкой патча.
