👨‍🏫 CVSS 10.0: як хакери зламували Cisco SD-WAN для викрадення ключів шифрування корпоративного трафіку (CVE-2026-20127)

Без паніки: Cisco виправила вразливість ще в лютому 2026 року. Водночас її експлуатацію в інших атаках фіксували щонайменше з 2023-го. Тож, якщо не оновлювалися - пора напрягтись. Вразливість зачіпає різні гілки Cisco Catalyst SD-WAN, зокрема 20.9, 20.12 та 20.18, тому для захисту необхідно встановити виправлений реліз відповідної гілки.

Адміністраторам рекомендують терміново оновити Cisco Catalyst SD-WAN, перевірити /var/log/auth.log на підозрілі входи vmanage-admin, несанкціоновані з'єднання контролерів та ознаки закріплення зловмисників.

Самого встановлення патча недостатньо, якщо систему вже скомпрометовано.

Після проникнення зловмисники встановлювали шкідливий комплекс KeyDrift. Він вбудовується в системні процеси, перехоплює ключовий матеріал AES-256, що використовується для захисту трафіку між офісами, та забезпечує прихований віддалений доступ.

Це створює ризик компрометації міжофісного трафіку та дозволяє атакувальникам тривалий час залишатися непоміченими в корпоративній мережі. Водночас фактичну передачу викрадених ключів за межі систем дослідники поки не підтвердили.

Серед цілей — організації космічної, супутникової, оборонної та аерокосмічної галузей. Інфраструктура атакувальників також перетинається з мережею Silent Train, яку використовувало пов'язане з Китаєм угруповання Volt Typhoon. Пряму причетність останнього до KeyDrift не доведено.