Cisco Talos pada 28 Oktober 2026 menerbitkan analisis tentang kelompok peretas bernama UAT-11473, yang memakai celah CVE-2026-20127 di Cisco Catalyst SD-WAN untuk masuk ke controller tanpa kata sandi. Setelah masuk, kelompok ini memasang kerangka malware bernama KeyDrift. Cisco menyebut mengetahui eksploitasi terbatas atas celah tersebut, yang bernilai CVSS 10,0.
Celah dan produk yang terdampak
CVE-2026-20127 adalah celah bypass autentikasi. Penyerang dari jaringan, tanpa akun dan tanpa interaksi pengguna, bisa melewati autentikasi peering, masuk sebagai akun internal berhak tinggi, lalu mengakses NETCONF untuk mengubah konfigurasi jaringan SD-WAN. Advisori Cisco menyebut tiga komponen terdampak apa pun konfigurasinya: Catalyst SD-WAN Controller (dulu vSmart), Manager (dulu vManage), dan Validator (dulu vBond). Cakupannya meliputi instalasi on-premises, layanan cloud hosted, layanan yang dikelola Cisco, dan lingkungan FedRAMP.
Cisco memperbarui advisori itu pada 28 Oktober 2026 dengan menambahkan tautan ke blog Talos. Untuk layanan hosted, Cisco menyatakan pengaman tambahan sudah dipasang di sisinya.
Yang dilakukan KeyDrift
Talos menilai UAT-11473 sebagai kelompok APT yang sangat canggih. Infrastrukturnya, menurut Talos dengan keyakinan tinggi, tumpang tindih dengan jaringan akses tersembunyi bernama Silent Train yang dikaitkan dengan Volt Typhoon. Sasaran yang disebut Talos adalah layanan luar angkasa dan satelit, teknologi pertahanan dan dirgantara, serta lembaga riset kebijakan.
KeyDrift dirancang untuk bertahan lama di controller dan menyadap lalu lintas kontrol yang sudah didekripsi. Salah satu modulnya, LittleFilch, mengait fungsi SSL_read untuk mengambil materi kunci data-plane, lalu menyimpannya dalam berkas terenkripsi. Modul PolyFlame berjalan di memori proses vdaemon sebagai pintu belakang sekaligus perantara perintah. Laporan The Hacker News menambahkan bahwa belum jelas apakah upgrade menghapus KeyDrift dari perangkat yang sudah disusupi, dan apakah kunci perlu diganti. Pembaca yang mengelola SD-WAN bisa membaca perincian teknis lengkap di laporan Talos.
Cisco juga pernah memperingatkan celah lain di perangkatnya, yaitu zero-day CVE-2026-76418 di firewall ASA dan FTD, tetapi itu produk dan celah yang berbeda.
Langkah yang perlu diambil pengelola SD-WAN
Cisco menyatakan tidak ada solusi sementara yang menuntaskan celah ini. Rilis perbaikan pertama menurut advisori: 20.9.8.2 untuk cabang 20.9, 20.12.5.3 atau 20.12.6.1 untuk cabang 20.12, 20.15.4.2 untuk cabang 20.15, dan 20.18.2.1 untuk cabang 20.18. Rilis sebelum 20.9 harus berpindah ke rilis yang sudah diperbaiki. Cabang 20.11, 20.13, 20.14, dan 20.16 sudah masuk akhir masa pemeliharaan, jadi pengguna perlu naik ke cabang yang didukung. Tabel di advisori sempat terbaca janggal, sehingga cek ulang nomor versi langsung di halaman Cisco.
Pada instalasi on-premises, Cisco menyarankan membatasi akses ke port 22 dan 830 hanya dari alamat controller dan host tepercaya. Langkah ini tidak membuang malware yang sudah terpasang. Periksa berkas /var/log/auth.log untuk entri “Accepted publickey for vmanage-admin” dari alamat yang tidak dikenal, bandingkan dengan System IP di SD-WAN Manager, dan ikuti panduan hardening Catalyst SD-WAN. Bila ada tanda kompromi, aktifkan prosedur respons insiden dan hubungi Cisco TAC.
Bagi operator di Indonesia yang menjalankan SD-WAN Cisco, urutannya jelas: tambal dulu, periksa log, lalu tanyakan ke Cisco apakah kunci enkripsi perlu diganti pada perangkat yang pernah dicurigai.
Sumber: Cisco Talos, advisori Cisco, dan The Hacker News. Gambar: Cisco Talos.