De kans is klein dat u het meteen merkt, maar de impact kan groot zijn: onderzoekers melden dat aanvallers een kritieke Cisco Catalyst SD-WAN-kwetsbaarheid hebben misbruikt om malware te plaatsen in systemen die uw SD-WAN aansturen. De malware heet KeyDrift en is ontworpen om encryptiesleutels te verzamelen die het verkeer tussen locaties beveiligen. Dat betekent dat de aanvallers later mogelijk verkeer kunnen ontcijferen of onderscheppen, afhankelijk van hoe uw omgeving is ingericht.
In dit artikel leest u wat er bekend is over de Cisco SD-WAN sleutelroof, welke kwetsbaarheid centraal staat (CVE-2026-20127), waarom control-systemen hierbij extra gevoelig zijn en welke acties u vandaag nog kunt nemen.
Wat is CVE-2026-20127 en waarom is het zo ernstig?
De kwetsbaarheid CVE-2026-20127 (CVSS-score 10.0) maakt het mogelijk dat een ongeauthenticeerde aanvaller authenticatie omzeilt en administratieve privileges krijgt op de controlecomponenten van Cisco SD-WAN. Het gaat specifiek om systemen zoals de Catalyst SD-WAN Controller (voorheen vSmart), Manager (voorheen vManage) en Validator (voorheen vBond).
Op een Controller kan de aanvaller inloggen als een hoogprivileged intern account dat niet de root is. Toch is dat al genoeg om controleprocessen te manipuleren en zo doelgericht gegevens te verzamelen.
Cisco heeft de kwetsbaarheid in februari gefixt. Wel meldt Talos dat er in ieder geval in de periode erna activiteit is gekoppeld aan exploitation, terwijl eerdere clusters van activiteit al vanaf minstens 2023 zouden teruggaan.
KeyDrift: malware die encryptiesleutels verzamelt
Talos beschrijft de aanval als historisch in de zin dat de onderzoekers niet precies kunnen duiden wanneer alle succesvolle compromissen plaatsvonden, of of er daadwerkelijk sleutels zijn exfiltreerd. Maar het ontwerp van de malware maakt het doel helder: encryptiesleutels voor later gebruik kopiëren.
In de traditionele key exchange binnen Cisco SD-WAN genereert elke SD-WAN-router periodiek een AES-sleutel voor het verkeer en stuurt die naar de Controller. De Controller geeft die sleutels vervolgens door aan andere routers. Daarvoor draait op de Controller een proces, vdaemon, dat de versleutelde control-verbindingen beheert en de berichten verwerkt.
Wanneer een Controller is gecompromitteerd, wordt een KeyDrift-onderdeel genaamd LittleFilch toegevoegd aan de keten van vdaemon. Daarmee leest de malware controlberichten nadat ze zijn gedecrypteerd. Voor een vaste lijst van edge-routers pakt LittleFilch een 32-byte veld. Talos beoordeelt dit veld als AES-256 sleutel-materiaal dat tussen de routers via de Controller wordt doorgegeven.
Vervolgens verwerkt LittleFilch de verzamelde gegevens met RSA, schrijft het resultaat weg naar een bestand en kan het daarna over UDP versturen naar een doel dat in een configuratiebestand staat. Daarna wordt het configuratiebestand verwijderd. Talos kon dat specifieke instellingenbestand niet terugvinden.
Hoe wordt PolyFlame ingezet op gecompromitteerde SD-WAN-systemen?
KeyDrift bestaat niet uit één component. Talos legt uit dat de initiële start vooral plaatsvindt via aangepaste runit-scripts die Cisco SD-WAN apparaten gebruiken om services te lanceren.
In één variant wordt de SSH-service anders gestart: het script voor de SSH-service laadt eerst een loader script (conf_sshd) vóór de “echte” SSH-server. Dit script schrijft de proces-ID’s van vdaemon weg naar een bestand (/tmp/system-vdaemon), waarna een injector (rsshd) KeyDrift’s kernmodule PolyFlame injecteert in elk van die vdaemon-processen.
PolyFlame draait in memory binnen vdaemon. Talos vergelijkt de mogelijkheden met een backdoor-achtig mechanisme: het kan commando’s uitvoeren en bestanden lezen/schrijven. Ook kan het als een soort relay fungeren tussen een command server en andere systemen, waarbij de commando’s binnen SD-WAN controlverkeer worden “geaccepteerd”. In de onderzochte samples zat geen hardcoded serveradres.
Daarnaast beschrijft Talos ook een route via de Validator: daar draait onder /etc/sv/aaamgr/ een nagemaakte service (aaamgr) die een gecomprimeerde loader (aaamgrd) decrypt en start om PolyFlame uit te voeren. Cisco’s echte aaamgr-component is een Python package en hoort niet als gecompileerde service te draaien, wat dus een belangrijk afwijkingspunt is.
Verder zijn er sporen van timestomping: commando’s die timestamps en permissies van bestaande bestanden kopiëren naar de bestanden die de aanvaller toevoegt.
Waar treft dit u? Controllers, Managers en Validators (on-prem én gehost)
De impact geldt voor meerdere releases en voor verschillende uitrolvormen. CVE-2026-20127 raakt de Catalyst SD-WAN Controller, Manager en Validator, ongeacht hun configuratie.
Dat betekent dat zowel on-premises omgevingen als gehoste Cisco SD-WAN cloud deployments kwetsbaar kunnen zijn, inclusief de Cisco Managed– en FedRAMP-omgevingen. Cisco heeft de Validator later toegevoegd aan het advies, met een update op 16 juni.
Wat u nu moet doen: patchen, toegang beperken en controleren
Cisco geeft aan dat er geen workaround is. De eerste stap is dus upgrade naar de gepaste, gefixte versies. Releases eerder dan 20.9 en de 20.11, 20.13, 20.14 en 20.16-trains zijn bovendien end-of-software maintenance, wat uw upgradeprioriteit verhoogt.
Totdat u volledig kunt upgraden, adviseert Cisco voor on-premises om de toegang tot poorten 22 en 830 te beperken tot alleen de IP-adressen van bekende Controllers en andere bekende systemen. Cisco vermeldt dat dit in een testomgeving werkte, maar raadt aan om dit in uw eigen netwerk te verifiëren. In hosted cloudomgevingen zouden die guardrails al aanwezig moeten zijn.
Belangrijk: het blokkeren van poorten haalt niet weg wat er al op een gecompromitteerd systeem staat. Daarom hoort incident response bij deze stap.
Indicatoren en controlepunten
Talos adviseert om fixes te installeren, de Cisco Catalyst SD-WAN hardening guide te volgen en te letten op post-compromise activiteiten.
- Bekijk voor misbruik van de kwetsbaarheid volgens Cisco in /var/log/auth.log naar Accepted publickey-events voor vmanage-admin vanuit onbekende IP-adressen.
- Voor u een case opent bij Cisco TAC: voer request admin-tech uit op elk control component.
- De remediation guide adviseert ook om admin-tech bestanden opnieuw te scannen met de Check Bug Applicability functionaliteit op de Bug Search Tool pagina voor bug CSCws52722.
Talos heeft daarnaast Snort-regels vrijgegeven om inbound command-and-control connecties te detecteren. Ze zijn specifiek voor bepaalde poortreeksen/ranges voor Snort 2 en Snort 3. Let op: de Snort 2 regels kunnen standaard uit staan bij Snort Subscriber rule sets; die moet u dan expliciet inschakelen.
Gerelateerde context: waarom deze keten past bij eerdere campagnes
Talos koppelt de actor achter KeyDrift aan UAT-11473 en noemt als doelwit onder andere ruimte- en satellietdiensten, defensie- en aerospace-technologie en beleidsonderzoek.
Ook is er een overlap in infrastructuur met een netwerk dat bekend is onder de naam Silent Train (zoals gebruikt door Lumen’s Black Lotus Labs). Silent Train verwijst naar een cluster van gecompromitteerde small-office/home-office/IoT en zakelijke apparaten. Die overlap is volgens Talos met hoge zekerheid waargenomen, al stelt Talos niet dat het om exact dezelfde groepen gaat, en ook niet hoe UAT-11473 precies samenhangt met een eerder gerapporteerde cluster.
Verder noemt Lumen dat een bekende state-sponsored actor (Volt Typhoon, geassocieerd met China) gebruikmaakte van een dergelijk netwerk om activiteiten te verbergen. CISA, NSA en FBI brachten hierover in 2024 gezamenlijke waarschuwingen naar buiten.
Welke bestanden en paden zijn volgens Talos kenmerkend?
Talos noemt locaties die KeyDrift gebruikt. Niet elk onderdeel hoeft in uw omgeving terug te vinden zijn, maar deze lijst is nuttig als startpunt voor zoeken en triage:
- /etc/sv/sshd/ (runit runscript aangepast om conf_sshd te starten)
- /etc/sv/aaamgr/ (fake service op een gecompromitteerde Validator)
- aaamgrd (packed loader)
- conf_sshd (loader script)
- rsshd (injector)
- /tmp/system-vdaemon (lijst met vdaemon proces-ID’s)
- /var/tmp/vdaemon.bin (encrypted records)
- /var/tmp/vdaemon.conf (send settings, daarna verwijderd)
- libdssl.so (PolyFlame)
- libcommon.so (LittleFilch)
Talos geeft geen lijst van bestands-hashes, IP-adressen of domeinen voor de malware, dus uw analyse zal vooral moeten leunen op host-based logging, integriteitschecks en IOC’s uit de Snort rules.
Praktische aanbeveling: start met herstel én vooronderzoek
Als u één les uit dit incident wilt meenemen: zodra de control-laag is aangeraakt, moet u ervan uitgaan dat de aanvaller méér zoekt dan “alleen” toegang. In dit geval draait het om sleutelmateriaal voor versleutelde communicatie.
Wilt u uw aanpak richting incident response verder aanscherpen? Lees dan ook ons artikel over het belang van snelle detectie en opvolging na grote kwetsbaarheden, zoals PHP2Shell misbruik in Palo Alto PAN-OS: fix nu. En als u al bezig bent met het verbeteren van detectieprocessen binnen uw SOC, kan Wazuh AI voor SOC-workflows: sneller en slimmer u helpen om workflow en triage te versnellen.
Conclusie
De melding over Cisco SD-WAN sleutelroof maakt duidelijk hoe belangrijk het is om control-systemen snel te patchen en structureel te controleren. CVE-2026-20127 is extreem ernstig, en de beschreven malware KeyDrift is expliciet gebouwd om encryptiesleutels te verzamelen via manipulatie van vdaemon-achtige processen.
Upgrade waar mogelijk, beperk toegang waar u nog niet kunt upgraden, en voer daarna gericht onderzoek uit op basis van de aanwijzingen rond admin-logins en admin-tech. Neem post-compromise signalen serieus: het blokkeren van poorten stopt niet automatisch wat al is geïnstalleerd.
Bron: https://thehackernews.com/2026/10/hackers-exploited-cisco-sd-wan-flaw-to.html
