セキュリティ · 2026年11月1日
ハッカーがCisco SD-WANの脆弱性を悪用し、暗号化キーを盗むマルウェアを設置
ハッカーがCisco Catalyst SD-WANの重大な脆弱性を悪用し、組織のSD-WANネットワークを制御するシステム内部にカスタムマルウェアを設置しました。
Cisco Talosが10月28日に明らかにしたところによると、KeyDriftと呼ばれるこのマルウェアは、拠点間でトラフィックを暗号化するキーをコピーして保存し、後で使用するように設計されています。Talosはこの攻撃を過去のものとしていますが、発生時期やキーが送信されたかどうかについては特定していません。
悪用された脆弱性はCVE-2026-20127として追跡されており、CVSSスコアは10.0です。この欠陥により、認証されていないリモートの攻撃者が認証をバイパスして、制御システムの管理権限を取得することが可能になります。コントローラーにおいて、攻撃者はルートではない高権限の内部アカウントとしてログインできます。
KeyDriftを運用するUAT-11473というグループは、宇宙および衛星サービス、防衛および航空宇宙技術、政策研究を標的にしています。Talosは、このグループのインフラがSilent Trainと大幅に重複していると高い信頼度で評価しています。Silent Trainは、LumenのBlack Lotus Labsが、ハッキングされた小規模オフィス、ホームオフィス、IoT、およびビジネスデバイスのネットワークに付けた名称です。
Lumenによると、中国の国家支援を受けたサイバーグループとされるVolt Typhoonが、このネットワークを活動の隠蔽に利用していました。また、LumenはVolt Typhoonが2025年後半までにCVE-2026-20127を悪用しており、Ciscoが2月に脆弱性を公開した後も悪用を続けていたと述べていますが、この活動をKeyDriftに結びつけてはいません。
この脆弱性は、設定に関わらず、Catalyst SD-WANのコントローラー、マネージャー、バリデーターに影響します。オンプレミスシステムに加え、Cisco ManagedやFedRAMP環境を含むCiscoのホスト型SD-WANクラウド展開も対象です。Ciscoは、この欠陥の限定的な悪用を認識しているとしています。