Cisco SD-WAN'deki kritik açık, şifreleme anahtarlarını çalmak için tasarlanmış KeyDrift zararlısının yayılmasına yol açtı

Saldırganlar, Şubat ayında yamalanan maksimum önem dereceli CVE-2026-20127 açığını kullanarak kurumsal ağların kontrol sistemlerine KeyDrift zararlısını yerleştirdi; zararlının hedefi, siteler arası trafiği koruyan AES-256 anahtarlarını toplayıp saklamak.

Saldırganlar, Cisco Catalyst SD-WAN'de bulunan ve CVSS puanı 10,0 olan CVE-2026-20127 açığını kötüye kullandı. Cisco, bu açığı Şubat ayında yamalamıştı. Saldırganlar açığı, kurumsal ağların kontrol sistemlerine KeyDrift adlı özel bir zararlı yazılım yüklemek için kullandı. Cisco Talos'a göre zararlı, siteler arasındaki trafiği koruyan AES-256 anahtarlarını kopyalayıp sonraki kullanım için saklamak üzere tasarlanmış. Talos ise anahtarların gerçekten çalınıp çalınmadığını ve etkinliğin ne zaman gerçekleştiğini doğrulayamadığını belirtiyor.

Talos, zararlıyı işleten operatörü UAT-11473 olarak izliyor. Bu operatörü Silent Train cihaz ağıyla ve Volt Typhoon ile yalnızca paylaşılan altyapı üzerinden ilişkilendiriyor; iki grubun aynı olduğunu söylemiyor. Lumen ise ayrı bir raporda Volt Typhoon'un aynı açığı 2025 sonundan itibaren ve Cisco'nun açıklamasından sonra da kullandığını bildiriyor.

Açığı kullanan ya da kullanma riski taşıyan operatörlerin, Cisco'nun listelediği düzeltilmiş sürümlere geçmesi gerekiyor. Sürüme ve kullanılan hatta göre 20.15.4.2 ya da 20.18.2.1 gibi sürümler bu listede yer alıyor. Geçici bir önlem olarak 22 ve 830 numaralı portlara erişimi bilinen kontrolcülerle sınırlandırmak öneriliyor. Yama, cihazda zaten bulunan zararlıyı kendiliğinden kaldırmıyor; bu nedenle kurumların saldırı izlerini aramaları ve anahtarları yenilemeyi değerlendirmeleri öneriliyor.