Уязвимость CVE-2026-20127 в Cisco Catalyst SD-WAN позволяла удалённому злоумышленнику без учётных данных обойти аутентификацию и получить административные привилегии на управляющих системах. Оценка CVSS — 10,0. Cisco сообщила об ограниченной эксплуатации. 28 октября Cisco Talos описала обнаруженную вредоносную программу KeyDrift, предназначенную для сбора материала ключей шифрования, которым защищён трафик между площадками организации. Talos назвала атаки историческими, но не указала, когда именно они произошли и передавались ли собранные ключи кому-либо.
В традиционной схеме обмена каждый маршрутизатор SD-WAN периодически генерирует AES-ключ для своего трафика и отправляет его контроллеру Catalyst SD-WAN, ранее называвшемуся vSmart. Контроллер передаёт ключи другим маршрутизаторам; зашифрованные управляющие соединения с ними обслуживает процесс vdaemon. На скомпрометированном контроллере компонент KeyDrift под названием LittleFilch перехватывает vdaemon и читает уже расшифрованные управляющие сообщения. Для заданного списка пограничных маршрутизаторов он извлекает IP-адреса и поле размером 32 байта. Talos считает, что в поле содержится материал ключа AES-256.
LittleFilch шифрует собранные данные с помощью RSA и сохраняет их в файл. При наличии настроек компонент может отправить их по UDP на указанный адрес, после чего удаляет файл с параметрами передачи. Talos не удалось восстановить этот файл. В отчёте также не приведены хеши файлов KeyDrift, IP-адреса или домены, поэтому такие индикаторы компрометации в нём отсутствуют.
Заражение контроллера обычно начинается с изменённых скриптов runit, которые запускают службы Cisco SD-WAN. В одном варианте скрипт службы SSH сначала запускает conf_sshd, а уже затем настоящий SSH-сервер. conf_sshd записывает идентификаторы процессов vdaemon в
На скомпрометированном Validator, ранее известном как vBond, Talos обнаружила поддельную службу aaamgr в
Talos отслеживает связанную с KeyDrift группу под обозначением UAT-11473. По оценке компании, она нацеливалась на космические и спутниковые службы, оборонные и аэрокосмические технологии, а также исследовательские организации, занимающиеся политикой. Talos с высокой степенью уверенности считает, что инфраструктура UAT-11473 «значительно пересекается» с сетью Silent Train. Так её называет Black Lotus Labs компании Lumen: это сеть взломанных устройств малого офиса и домашнего офиса, IoT-оборудования и бизнес-устройств. Lumen утверждает, что Volt Typhoon использовала эту сеть для сокрытия своей активности. В 2024 году CISA, NSA и FBI назвали Volt Typhoon китайской государственной кибергруппой. Связь UAT-11473 с Volt Typhoon Talos выводит только из пересечения инфраструктуры; компания не утверждает, что это одна группа, и не объясняет, как UAT-11473 связана с кластером UAT-8616, о котором Talos сообщала в феврале. Отдельно Lumen заявила 28 октября, что Volt Typhoon эксплуатировала CVE-2026-20127 уже к концу 2025 года и продолжала атаки после раскрытия уязвимости Cisco в феврале. Lumen не связывала эту активность с KeyDrift.
Уязвимость затрагивает управляющие компоненты Catalyst SD-WAN независимо от конфигурации: Controller, ранее vSmart; Manager, ранее vManage; и Validator, ранее vBond. Речь идёт как о локальных установках, так и о размещённых Cisco облачных средах SD-WAN, включая Cisco Managed и FedRAMP. Cisco раскрыла уязвимость в феврале. Тогда Talos отслеживала эксплуатацию под кодом UAT-8616 и сообщала, что активность этого кластера началась не позднее 2023 года. 16 июня Cisco добавила Validator в своё уведомление.
Исправленные версии Cisco зависят от ветки ПО: для 20.9 нужна 20.9.8.2; для 20.11 — 20.12.6.1; для 20.12 — 20.12.5.3 или 20.12.6.1; для 20.13, 20.14 и 20.15 — 20.15.4.2; для 20.16 и 20.18 — 20.18.2.1. Системы старше 20.9 необходимо перевести на исправленную версию. Ветки старше 20.9, а также 20.11, 20.13, 20.14 и 20.16 достигли конца периода сопровождения программного обеспечения. Обходного решения Cisco не предлагает.
До обновления локальные установки можно временно защитить, ограничив доступ к портам 22 и 830 адресами известных контроллеров и других доверенных систем. Cisco проверила эту меру, но советует убедиться, что она работает в конкретной сети. Для своих облачных развёртываний SD-WAN компания сообщает о наличии аналогичных ограничений. Блокировка портов не удалит вредоносную программу с уже заражённого устройства. При признаках компрометации Cisco рекомендует начать расследование инцидента и при необходимости обратиться в Technical Assistance Center (TAC). Указания Cisco не проясняют, удаляет ли обновление KeyDrift с уже заражённой системы и нужно ли менять ключи шифрования. В руководстве по устранению последствий, опубликованном в феврале, компания предупреждает, что «сохранившиеся активные эксплойты» могут остаться после обновления.
При проверке систем следует учитывать названия и расположение связанных файлов: изменённый скрипт запуска в
28 октября Talos выпустила правила Snort для обнаружения входящих соединений KeyDrift с командным сервером: Snort 2, правила 67387–67416; Snort 3, правила 7:44–7:73. Уязвимость CVE-2026-20127 также обнаруживают существующие правила 65938 и 65958. Правила Snort 2 из обновления 28 октября по умолчанию отключены; подписчикам платного набора Snort Subscriber нужно включить их вручную. Для правил Snort 3 состояние по умолчанию не указано. Cisco советует искать в
Для федеральных гражданских ведомств США действует экстренная директива CISA от 25 февраля. Если обнаружена компрометация учётной записи root, ведомство должно сообщить об этом CISA, развернуть новые Manager, Controller и Validator из исправленных образов, а затем перевести пограничные маршрутизаторы на новые системы.
Изображение носит иллюстративный характер
В традиционной схеме обмена каждый маршрутизатор SD-WAN периодически генерирует AES-ключ для своего трафика и отправляет его контроллеру Catalyst SD-WAN, ранее называвшемуся vSmart. Контроллер передаёт ключи другим маршрутизаторам; зашифрованные управляющие соединения с ними обслуживает процесс vdaemon. На скомпрометированном контроллере компонент KeyDrift под названием LittleFilch перехватывает vdaemon и читает уже расшифрованные управляющие сообщения. Для заданного списка пограничных маршрутизаторов он извлекает IP-адреса и поле размером 32 байта. Talos считает, что в поле содержится материал ключа AES-256.
LittleFilch шифрует собранные данные с помощью RSA и сохраняет их в файл. При наличии настроек компонент может отправить их по UDP на указанный адрес, после чего удаляет файл с параметрами передачи. Talos не удалось восстановить этот файл. В отчёте также не приведены хеши файлов KeyDrift, IP-адреса или домены, поэтому такие индикаторы компрометации в нём отсутствуют.
Заражение контроллера обычно начинается с изменённых скриптов runit, которые запускают службы Cisco SD-WAN. В одном варианте скрипт службы SSH сначала запускает conf_sshd, а уже затем настоящий SSH-сервер. conf_sshd записывает идентификаторы процессов vdaemon в
/tmp/system-vdaemon; утилита rsshd внедряет основной модуль KeyDrift в каждый процесс из списка. Этот модуль, PolyFlame, работает в памяти внутри vdaemon. Он может служить бэкдором в стиле TinyShell, выполняя команды и читая или записывая файлы, либо ретранслятором команд между сервером управления и другими машинами. PolyFlame принимает команды внутри управляющего трафика SD-WAN. В изученных образцах жёстко заданного адреса сервера не было. На скомпрометированном Validator, ранее известном как vBond, Talos обнаружила поддельную службу aaamgr в
/etc/sv/aaamgr/. Она запускает упакованный загрузчик aaamgrd, который расшифровывает PolyFlame и запускает его. Настоящий компонент Cisco aaamgr — пакет Python; обычно он не работает как скомпилированная служба. Talos также нашла признаки timestomping: злоумышленники копировали временные метки и права доступа существующих файлов на свои файлы, маскируя их появление. Talos отслеживает связанную с KeyDrift группу под обозначением UAT-11473. По оценке компании, она нацеливалась на космические и спутниковые службы, оборонные и аэрокосмические технологии, а также исследовательские организации, занимающиеся политикой. Talos с высокой степенью уверенности считает, что инфраструктура UAT-11473 «значительно пересекается» с сетью Silent Train. Так её называет Black Lotus Labs компании Lumen: это сеть взломанных устройств малого офиса и домашнего офиса, IoT-оборудования и бизнес-устройств. Lumen утверждает, что Volt Typhoon использовала эту сеть для сокрытия своей активности. В 2024 году CISA, NSA и FBI назвали Volt Typhoon китайской государственной кибергруппой. Связь UAT-11473 с Volt Typhoon Talos выводит только из пересечения инфраструктуры; компания не утверждает, что это одна группа, и не объясняет, как UAT-11473 связана с кластером UAT-8616, о котором Talos сообщала в феврале. Отдельно Lumen заявила 28 октября, что Volt Typhoon эксплуатировала CVE-2026-20127 уже к концу 2025 года и продолжала атаки после раскрытия уязвимости Cisco в феврале. Lumen не связывала эту активность с KeyDrift.
Уязвимость затрагивает управляющие компоненты Catalyst SD-WAN независимо от конфигурации: Controller, ранее vSmart; Manager, ранее vManage; и Validator, ранее vBond. Речь идёт как о локальных установках, так и о размещённых Cisco облачных средах SD-WAN, включая Cisco Managed и FedRAMP. Cisco раскрыла уязвимость в феврале. Тогда Talos отслеживала эксплуатацию под кодом UAT-8616 и сообщала, что активность этого кластера началась не позднее 2023 года. 16 июня Cisco добавила Validator в своё уведомление.
Исправленные версии Cisco зависят от ветки ПО: для 20.9 нужна 20.9.8.2; для 20.11 — 20.12.6.1; для 20.12 — 20.12.5.3 или 20.12.6.1; для 20.13, 20.14 и 20.15 — 20.15.4.2; для 20.16 и 20.18 — 20.18.2.1. Системы старше 20.9 необходимо перевести на исправленную версию. Ветки старше 20.9, а также 20.11, 20.13, 20.14 и 20.16 достигли конца периода сопровождения программного обеспечения. Обходного решения Cisco не предлагает.
До обновления локальные установки можно временно защитить, ограничив доступ к портам 22 и 830 адресами известных контроллеров и других доверенных систем. Cisco проверила эту меру, но советует убедиться, что она работает в конкретной сети. Для своих облачных развёртываний SD-WAN компания сообщает о наличии аналогичных ограничений. Блокировка портов не удалит вредоносную программу с уже заражённого устройства. При признаках компрометации Cisco рекомендует начать расследование инцидента и при необходимости обратиться в Technical Assistance Center (TAC). Указания Cisco не проясняют, удаляет ли обновление KeyDrift с уже заражённой системы и нужно ли менять ключи шифрования. В руководстве по устранению последствий, опубликованном в феврале, компания предупреждает, что «сохранившиеся активные эксплойты» могут остаться после обновления.
При проверке систем следует учитывать названия и расположение связанных файлов: изменённый скрипт запуска в
etc/sv/sshd/ загружает conf_sshd; /etc/sv/aaamgr/ содержит поддельную службу Validator; aaamgrd — упакованный загрузчик; rsshd — инжектор; libdssl.so — PolyFlame; libcommon.so — LittleFilch; /tmp/system-vdaemon — список идентификаторов процессов vdaemon; /var/tmp/vdaemon.bin — файл зашифрованных записей LittleFilch; /var/tmp/vdaemon.conf — настройки отправки, удаляемые после чтения. 28 октября Talos выпустила правила Snort для обнаружения входящих соединений KeyDrift с командным сервером: Snort 2, правила 67387–67416; Snort 3, правила 7:44–7:73. Уязвимость CVE-2026-20127 также обнаруживают существующие правила 65938 и 65958. Правила Snort 2 из обновления 28 октября по умолчанию отключены; подписчикам платного набора Snort Subscriber нужно включить их вручную. Для правил Snort 3 состояние по умолчанию не указано. Cisco советует искать в
/var/log/auth.log запись Accepted publickey for vmanage-admin и входы с неизвестных IP-адресов. Перед обращением в TAC заказчикам следует выполнить request admin-tech на каждом управляющем компоненте, а затем повторно проверить собранные файлы admin-tech через Check Bug Applicability на странице Bug Search Tool для ошибки CSCws52722. Для федеральных гражданских ведомств США действует экстренная директива CISA от 25 февраля. Если обнаружена компрометация учётной записи root, ведомство должно сообщить об этом CISA, развернуть новые Manager, Controller и Validator из исправленных образов, а затем перевести пограничные маршрутизаторы на новые системы.
