LONDON (IT BOLTWISE) – Angreifer nutzen eine kritische Lücke in Cisco Catalyst SD-WAN, um im Netzwerksteuerungsbereich Malware zu platzieren, die Verschlüsselungsschlüssel für die spätere Wiederverwendung abgreift. Die Schwachstelle CVE-2026-20127 (CVSS 10.0) erlaubt einem nicht authentifizierten Angreifer das Umgehen der Authentifizierung und das Erlangen administrativer Rechte auf den Controller-Komponenten. Sicherheitsdetails nennen KeyDrift, das Daten aus entschlüsselten Steuerverbindungen ausliest und in einem internen Prozess tarnt. Cisco verweist dabei auf die ersten festen Releases ab den 20.9er und auf Port-Einschränkungen als kurzfristige Maßnahme.
Die Breite der Auswirkung wird in der aktuellen Analyse besonders deutlich: Eine kritische Sicherheitslücke in Cisco Catalyst SD-WAN erlaubt es, nicht nur einzelne Steuerkomponenten zu kompromittieren, sondern gezielt an das Schlüsselsegment zu gelangen, das die verschlüsselten Verbindungen zwischen Standorten absichert. Im Zentrum steht CVE-2026-20127 mit einem CVSS-Score von 10.0. Laut Cisco und der technischen Sicherheitsanalyse wurde die Lücke im Februar behoben, während ein Cluster von Ausnutzungsaktivitäten bereits früher dokumentiert worden war. Konkret geht es um Controller-, Manager- und Validator-Komponenten (vormals vSmart, vManage und vBond), auf denen der Angreifer nach dem Authentifizierungsumgehungsschritt Administratorrechte für die Kontrolle des SD-WAN-Backbones erlangt.
Technisch knüpft der Angriffsweg an den Datenfluss des traditionellen Key-Exchange-Mechanismus von SD-WAN an. Jede Router-Komponente erzeugt periodisch einen AES-Schlüssel für den Datenverkehr zu einem AES-Schlüsselpaket, das an den Catalyst SD-WAN Controller weitergereicht wird; der Controller verteilt diese Schlüssel anschließend an weitere Router. Entscheidend ist dabei, dass auf dem Controller ein Prozess namens vdaemon die verschlüsselten Steuerverbindungen betreibt, über die genau diese Schlüsselmaterialien zwischen den Systemen wandern. Die Malware KeyDrift setzt laut Analyse an dieser Stelle an: Eine Komponente namens LittleFilch hakt sich in vdaemon ein, liest Steuer-Nachrichten nach deren Entschlüsselung aus und verarbeitet dabei für ausgewählte Edge-Router konkrete Feldinhalte. Talos bewertet dieses Feld als AES-256-Key-Material, das der Controller zwischen Routern weitergibt.
Das Angriffsmuster ist dabei nicht nur auf das reine Auslesen reduziert, sondern auf das spätere Nutzen ausgelegt. LittleFilch verschlüsselt die gesammelten Informationen mit RSA und schreibt die Ergebnisse in eine Datei, bevor die Daten anschließend über UDP an eine konfigurierbare Adresse gesendet werden. Auffällig ist außerdem, dass der Analyse zufolge ein Teil der Spuren durch das Löschen der Settingsdatei nach dem Lesen verwischt wird; gleichzeitig konnte die Analyse diese Settingsdatei nicht zurückholen. Zusätzlich beschreibt die Analyse, dass die Einstiegskette in den SD-WAN-typischen Startablauf integriert ist: In einer Variante manipuliert eine geänderte runit-Script-Logik den Start der SSH-Dienste, indem sie einen Loader vorgelagert startet. Der eigentliche Payload-Modulstart erfolgt über eine Injektion in die im vdaemon-Kontext laufenden Prozesse, wodurch die Ausführung im Speicher (in-memory) erfolgt und weniger klassische Dateisignaturen entstehen.
Auf Validator-Seite (vormals vBond) läuft parallel ein weiterer Mechanismus, der sich wie ein Dienst tarnt: Unter /etc/sv/aaamgr/ existiert der Angreifer-Dienst aaamgrd, der statt der regulären Python-basierten Logik als gepackter Loader arbeitet. Dieses Vorgehen reduziert die Hürde, weil die betroffenen Geräte die Ausführung ohnehin in ihrem Service-Setup starten. Die Analyse beschreibt darüber hinaus Verteidigungsumgehung in Form von timestomping: Die Angreifer kopieren Zeitstempel und Berechtigungen bestehender Dateien auf ihre eigenen Artefakte, was Suchmuster erschwert, die auf ungewöhnlichen File-Attributen basieren. PolyFlame fungiert dabei entweder als Kommandobackdoor im Stil eines TinyShell-Ansatzes, um Befehle auszuführen und Dateien zu lesen oder zu schreiben, oder als Relay, das Kommandos zwischen einem zentralen Command-Server und anderen Systemen weiterleitet. Entscheidend: Die analysierten Samples sollen keine hartcodierte Serveradresse enthalten haben und nehmen stattdessen Befehle innerhalb des SD-WAN-Steuerverkehrs entgegen.
Im Markt- und Bedrohungskontext wird die Lage besonders relevant, weil es sich nicht um einen isolierten Proof-of-Concept handelt, sondern um einen Angriff mit zielgerichtetem Set an Branchenprofilen. Die Malware-Entwickler werden in der Analyse mit UAT-11473 verfolgt, wobei die Infrastruktur „erheblich überlappt“ mit einem Cluster, das in einem anderen Kontext als Silent Train bezeichnet wird. Silent Train ist der Name, den ein Labor eines US-Kommunikations- und Cloud-Dienstanbieters für ein Botnetz aus kompromittierten Small-Office/Home-Office-Geräten, IoT-Assets und Business-Hardware verwendet. Die Einordnung zu staatlich unterstützten Akteuren stammt dabei aus einer Attribution von CISA, NSA und FBI aus dem Jahr 2024, die Volt Typhoon als chinesische, staatlich gesponserte Gruppierung klassifiziert; Talos verknüpft UAT-11473 mit Volt Typhoon jedoch ausdrücklich nur über den Infrastruktur-Overlap und stellt keinen automatischen Gleichheitsbeweis zwischen den Clusterbegriffen her. Separat erklärt Lumen, dass Volt Typhoon CVE-2026-20127 bereits bis Ende 2025 ausnutzen sollte und die Ausnutzung nach der Cisco-Offenlegung im Februar fortgesetzt haben könnte, ohne dabei KeyDrift zwingend direkt zuzuordnen.
Für Betreiber ist jetzt vor allem die Patch- und Abwehrstrategie entscheidend, weil die Analyse keinen Workaround nennt. Cisco weist auf limitierte, aber vorhandene Ausnutzung hin und liefert als erste behobene Releases konkrete Fix-Versionen pro Release-Train: Dazu zählen unter anderem Versionen ab 20.9 (zunächst 20.9.8.2) sowie je nach Train 20.11, 20.12.6.1, 20.12.5.3 oder 20.12.6.1, 20.13, 20.14 (jeweils in den genannten Varianten) und auch spätere Trains wie 20.18.1.1 bzw. 20.18.2.1. Für Züge, die vor 20.9 liegen oder ab 20.11, 20.13, 20.14 und 20.16 das Ende der Wartung erreicht haben, empfiehlt Cisco ein Upgrade; bis dahin sollen On-premises-Kunden den Zugriff auf Ports 22 und 830 auf die IP-Adressen bekannter Controller und anderer bekannter Systeme beschränken. Für gehostete SD-WAN-Umgebungen seien solche Guardrails bereits vorhanden. Wichtig ist dabei die Einschränkung, die in vielen Incident-Recovery-Plänen häufig unterschätzt wird: Das reine Blockieren von Ports entfernt keine bereits installierte Malware auf einem Gerät.
Zusätzlich nennt die Analyse konkrete Prüf- und Detection-Elemente, um Post-Compromise-Aktivität zu erkennen. Talos rät, die Cisco-Fixes zu installieren, das Catalyst SD-WAN Hardening Guide zu befolgen und nach typischen Zeichen nach einer Kompromittierung zu suchen; wer Anzeichen findet, soll Incident Response starten und kann Unterstützung über den Cisco Technical Assistance Center (TAC) anfordern. Für eine technische Verifikation verweist Cisco auf das Durchführen von request admin-tech auf jedem Control-Component, bevor ein TAC-Fall geöffnet wird. Als zusätzliche Abfrage sollen für CVE-2026-20127 auch Rescans der admin-tech-Dateien über das Check Bug Applicability-Feature im Bug Search Tool erfolgen, etwa anhand des genannten Bug CSCws52722. Auf SIEM- und IDS-Ebene stellt Talos Snort-Regeln bereit, darunter generische Regeln für die KeyDrift-Kommandokette (Snort 2 in den Bereichen 67387 bis 67416, Snort 3 zwischen 7:44 und 7:73), während Regeln für den CVE-Exploit selbst bereits existieren (65938 und 65958) und die KeyDrift-relevanten Snort-2-Regeln laut Update in der bezahlten Subscriber-Regelbasis standardmäßig deaktiviert sein können. Für US-föderale zivile Behörden gilt zudem eine CISA-Emergency-Directive vom 25. Februar, die unter anderem neue Instanzen aus gepatchten Images fordert und das Vorgehen bei einem Root-Account-Compromise strukturiert. Entscheidend bleibt jedoch: Die Frage, ob ein Upgrade KeyDrift bereits auf kompromittierten Systemen sicher entfernt und ob abgezogene Schlüssel ersetzt werden müssen, bleibt in der Analyse offen und sollte in jedem Incident-Fall als eigenes Prüfpaket behandelt werden.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KeyDrift missbraucht Cisco-SD-WAN-Schwachstelle CVE-2026-20127 zur Schlüssel-Diebstahl-Umgehung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KeyDrift missbraucht Cisco-SD-WAN-Schwachstelle CVE-2026-20127 zur Schlüssel-Diebstahl-Umgehung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KeyDrift missbraucht Cisco-SD-WAN-Schwachstelle CVE-2026-20127 zur Schlüssel-Diebstahl-Umgehung« bei Google Deutschland suchen, bei Bing oder Google News!