- BleepingComputer报道，UAT-11473利用CVE-2026-20127在Cisco Catalyst SD-WAN控制器上部署KeyDrift恶意软件。
- 该漏洞允许未经身份验证的远程攻击者绕过身份验证并获得管理员权限。
- Cisco为该漏洞指定的CVSS基础评分为10.0。
BleepingComputer于2026年10月28日报道，Cisco Catalyst SD-WAN系统通过CVE-2026-20127遭到攻击，UAT-11473利用该身份验证绕过漏洞部署KeyDrift恶意软件，BleepingComputer报道了这一情况。
Cisco表示，该漏洞允许未经身份验证的远程攻击者绕过身份验证并获得管理员权限。无论设备配置如何，该漏洞都会影响Catalyst SD-WAN控制器、管理器和验证器。
SD-WAN使用软件定义网络技术和加密覆盖隧道连接组织的内部地点。Cisco为CVE-2026-20127指定的CVSS基础评分为10.0。
KeyDrift旨在复制流量加密密钥
Cisco Talos表示，KeyDrift旨在复制用于加密站点之间流量的密钥，并将其存储起来以供日后使用。
CISA要求根权限遭入侵后重新部署SD-WAN控制平面实例
CISA于2026年2月25日发布报告。该机构确认CVE-2022-20775是一个相关的路径遍历漏洞，允许经过身份验证的本地攻击者获得提升的权限，并以root身份执行任意命令。
对于根权限遭入侵后的受影响机构，CISA表示，应使用已修补的OVA或qcow2镜像部署全新的vManage、vSmart和vBond实例，并将边缘设备迁移到新基础设施。
Cisco于2026年2月25日首次发布公告，并于2026年10月28日更新公告。Cisco表示，没有可解决该漏洞的缓解措施。
CISA表示，一名网络威胁行为者正在持续利用Cisco SD-WAN系统。根权限遭入侵后，该机构指示各机构使用已修补镜像中的全新vManage、vSmart和vBond实例重建控制管理平面，并迁移其边缘设备。
防守方现在要做什么
- 将对22和830端口的流量限制为已知控制器IP和其他已知IP。
- 审查/var/log/auth.log，查找来自未知或未经授权IP地址、针对vmanage-admin的Accepted publickey条目。
常见问题
CVE-2026-20127发生了什么？
BleepingComputer报道，UAT-11473利用Cisco Catalyst SD-WAN控制器中的身份验证绕过漏洞部署KeyDrift恶意软件。
哪些Cisco SD-WAN产品受到影响？
Cisco表示，无论设备配置如何，该漏洞都会影响Catalyst SD-WAN控制器、管理器和验证器。
CVE-2026-20127能让攻击者获得管理员访问权限吗？
Cisco表示，未经身份验证的远程攻击者可以绕过身份验证，并在受影响系统上获得管理员权限。
CVE-2026-20127的严重程度如何？
Cisco为其指定的CVSS基础评分为10.0。
KeyDrift会做什么？
Cisco Talos表示，KeyDrift旨在复制用于加密站点之间流量的密钥，并将其存储起来以供日后使用。
CVE-2026-20127有缓解措施吗？
Cisco表示，没有可解决该漏洞的缓解措施。Cisco建议将对22和830端口的流量限制为已知IP地址，并审查auth.log中来自未知或未经授权IP地址的vmanage-admin Accepted publickey条目。
来源
- ED 26-03: Mitigate Vulnerabilities in Cisco SD-WAN Systems | CISA, CISA原始文件
- Cisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability, Cisco原始文件
- Hackers Exploited Cisco SD-WAN Flaw to Plant Malware Built to Steal Encryption Keys, The Hacker News
- Hackers exploit Cisco SD-WAN flaw to deploy custom KeyDrift malware, BleepingComputer
- Cisco SD-WAN Zero-Day Exploitation Tied to Volt Typhoon’s ‘Silent Train’ Network, SecurityWeek
- SD-WAN, Wikipedia
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| The Hacker News报道，黑客利用一个严重的Cisco Catalyst SD-WAN漏洞，将定制恶意软件植入控制组织SD-WAN网络的系统中。 | The Hacker News | 引述 |
| BleepingComputer报道，UAT-11473利用Cisco Catalyst SD-WAN控制器中的身份验证绕过漏洞CVE-2026-20127部署KeyDrift恶意软件。 | BleepingComputer | 引述 |
| The Hacker News报道，CVE-2026-20127的CVSS评分为10.0。 | The Hacker News | 引述 |
| SecurityWeek报道，CVE-2026-20127的CVSS评分为10。 | SecurityWeek | 引述 |
| Cisco为CVE-2026-20127指定的CVSS基础评分为10.0。 | Cisco | 已证实 |
| CISA表示，一名网络威胁行为者正在持续利用Cisco SD-WAN系统。 | CISA | 引述 |
| Cisco表示，该漏洞允许未经身份验证的远程攻击者绕过身份验证并获得管理员权限。 | Cisco | 已证实 |
| Cisco于2026年2月25日首次发布公告，并于2026年10月28日更新公告。 | Cisco | 已证实 |
| Cisco表示，没有可解决该漏洞的缓解措施。 | Cisco | 已证实 |
| CISA指示各机构在根权限遭入侵后，使用已修补镜像中的全新vManage、vSmart和vBond实例，并迁移其边缘设备。 | CISA | 已证实 |
| CISA确认CVE-2022-20775是一个相关的路径遍历漏洞，允许经过身份验证的本地攻击者获得提升的权限并执行root命令。 | CISA | 已证实 |
| SD-WAN是一种广域网，使用软件定义网络技术和加密覆盖隧道连接组织的内部地点。 | Wikipedia | 已证实 |
| CISA于2026年2月25日发布报告。 | CISA | 已证实 |
| sec.cloudapps.cisco.com于2026年10月28日发布报告。 | sec.cloudapps.cisco.com | 已证实 |
未能核实
- 攻击者是否发送或使用了任何收集的加密密钥尚未确定
- 受影响的组织或设备数量尚未确定
- UAT-11473和Volt Typhoon是否为同一组织尚未确定
- 升级是否会从已遭入侵的设备中移除KeyDrift尚未确定
