--- title: Hacker sfruttano falla di Cisco SD-WAN per distribuire malware KeyDrift url: https://www.dataloco.com/it/hacker-sfruttano-falla-di-cisco-sd-wan-per-distribuire-malware-keydrift published: 2026-11-01T11:25:53+00:00 language: it section: Sicurezza source: https://www.bleepingcomputer.com/news/security/hackers-exploit-cisco-sd-wan-flaw-to-deploy-custom-keydrift-malware/ organizations: Cisco, Lumen, Cisco Talos publisher: Dataloco --- # Hacker sfruttano falla di Cisco SD-WAN per distribuire malware KeyDrift Un gruppo di minacce persistenti avanzate, identificato come UAT-11473, ha sfruttato una vulnerabilità di bypass dell'autenticazione nei controller Cisco Catalyst SD-WAN per installare un framework di malware personalizzato chiamato KeyDrift. La falla, catalogata come CVE-2026-20127, è classificata con severità massima. Tale vulnerabilità permette ad aggressori remoti di ottenere l'accesso privilegiato al manager e al controller Catalyst SD-WAN, consentendo l'aggiunta di peer non autorizzati. Cisco ha rilasciato una correzione per questo problema nel febbraio 2026. Secondo i ricercatori di Cisco Talos, il gruppo UAT-11473 sembra sovrapporsi alla rete di accesso covert Silent Train, utilizzata dal gruppo di hacker sponsorizzato dallo stato cinese Volt Typhoon. Altri dati indicano che l'entità UAT-8616 ha sfruttato questa vulnerabilità come zero-day a partire almeno dal 2023. Ricerche condotte da Lumen hanno rivelato che il framework Silent Train ha permesso a Volt Typhoon di evitare il rilevamento durante gli attacchi. Le operazioni osservate hanno preso di mira organizzazioni di ricerca politica, tecnologia aerospaziale e difesa, oltre a servizi spaziali e satellitari. Il malware KeyDrift è progettato per operare all'interno delle istanze del controller Cisco SD-WAN per garantire l'accesso persistente a lungo termine e l'esfiltrazione automatizzata di materiale di chiavi sensibili. Il framework KeyDrift opera nei processi del piano di controllo SD-WAN, intercettando il traffico di controllo decriptato ed estraendo metadati della sessione e materiale di chiavi del piano dati. Esso è composto da due elementi principali: PolyFlame e LittleFilch. PolyFlame viene eseguito all'interno di processi vdaemon legittimi, supportando l'esecuzione di comandi, il caricamento e lo scaricamento di file e il rilancio delle comunicazioni tra il server di comando e controllo dell'attaccante e più peer. LittleFilch funge da modulo di intercettazione delle sessioni di controllo, ispezionando i messaggi dopo la decriptazione. Per nodi edge predefiniti, estrae identificatori IP e un campo di 32 byte, valutato come materiale di chiavi IPsec AES-256 del piano dati. Queste informazioni vengono protette tramite crittografia RSA, salvate in un file locale e trasmesse agli aggressori via UDP. Cisco raccomanda agli amministratori di sistema di applicare gli aggiornamenti di sicurezza per la vulnerabilità CVE-2026-20127 e di consultare la guida dedicata al rafforzamento per le implementazioni Catalyst SD-WAN. ## This story in other languages - [日本語](https://www.dataloco.com/ja/cisco-sd-wan) - [한국어](https://www.dataloco.com/ko/cisco-sd-wan) - [हिन्दी](https://www.dataloco.com/hi/saibra-aparathhaya-na-sasaka-ka-gabhara-sarakashha-thashha-ka-upayaga-karaka-enakarapashana-ka-kajaya-carana-ka-le-malvayara-lgaii) - [Türkçe](https://www.dataloco.com/tr/saldirganlar-sifreleme-anahtarlarini-calmak-icin-cisco-sd-wan-acigini-kullandi) - [Русский](https://www.dataloco.com/ru/xakery-ispolzovali-uiazvimost-cisco-sd-wan-dlia-ustanovki-vredonosnogo-po-dlia-krazi-kliucei-sifrovaniia) - [עברית](https://www.dataloco.com/he/cisco-sd-wan-2) - [العربية](https://www.dataloco.com/ar/mkhtrkon-astghloa-thghr-fy-cisco-sd-wan-lzraa-brmgyat-khbyth-tsrk-mfatyh-altshfyr) - [Indonesia](https://www.dataloco.com/id/peretas-manfaatkan-celah-cisco-sd-wan-untuk-menanam-perangkat-lunak-berbahaya-pencuri-kunci-enkripsi) - [ไทย](https://www.dataloco.com/th/cisco-sd-wan) - [Deutsch](https://www.dataloco.com/de/schadsoftware-keydrift-stiehlt-verschlusselungsschlussel-uber-cisco-schwachstelle) - [Español](https://www.dataloco.com/es/hackers-explotan-un-fallo-de-cisco-sd-wan-para-desplegar-el-malware-keydrift) - [Nederlands](https://www.dataloco.com/nl/hackers-gebruikten-cisco-sd-wan-lek-om-malware-voor-encryptiesleutels-te-plaatsen) - [Svenska](https://www.dataloco.com/sv/hackare-utnyttjade-kritisk-sarbarhet-i-cisco-sd-wan-for-att-stjala-krypteringsnycklar) - [Français](https://www.dataloco.com/fr/exploitation-dune-faille-critique-dans-les-controleurs-cisco-catalyst-sd-wan) - [Polski](https://www.dataloco.com/pl/hakerzy-wykorzystuja-luke-w-cisco-sd-wan-do-wdrozenia-zlosliwego-oprogramowania-keydrift) - [Norsk](https://www.dataloco.com/no/hackere-utnytter-sarbarhet-i-cisco-sd-wan-for-a-distribuere-keydrift-skadevare)