- BleepingComputer報道，UAT-11473利用CVE-2026-20127在Cisco Catalyst SD-WAN控制器部署KeyDrift惡意軟件。
- 該漏洞容許未經身份驗證的遠程攻擊者繞過身份驗證並取得管理員權限。
- Cisco為該漏洞評定CVSS基礎評分10.0。
Cisco Catalyst SD-WAN系統成為CVE-2026-20127的攻擊目標，UAT-11473利用身份驗證繞過漏洞部署KeyDrift惡意軟件，BleepingComputer於2026年10月28日報道。
Cisco表示，該漏洞容許未經身份驗證的遠程攻擊者繞過身份驗證並取得管理員權限。無論裝置配置如何，該漏洞均影響Catalyst SD-WAN控制器、Manager及Validator。
SD-WAN採用軟件定義網絡技術及加密覆蓋隧道，連接機構的內部地點。Cisco為CVE-2026-20127評定CVSS基礎評分10.0。
KeyDrift旨在複製流量加密金鑰
Cisco Talos表示，KeyDrift旨在複製用於加密站點之間流量的金鑰，並儲存以供日後使用。
CISA促遭入侵取得root權限後重新建立SD-WAN控制平面實例
CISA於2026年2月25日發布報告。該機構指出，CVE-2022-20775是相關的路徑穿越漏洞，容許已通過身份驗證的本地攻擊者取得提升權限，並以root身份執行任意指令。
CISA表示，受影響機構在遭root權限入侵後，應從已修補的OVA或qcow2映像部署全新的vManage、vSmart及vBond實例，並將邊緣裝置遷移至新基礎設施。
Cisco首次於2026年2月25日發布公告，並於2026年10月28日更新。Cisco表示，沒有任何替代方案可處理此漏洞。
CISA表示，一名網絡威脅行為者正持續利用Cisco SD-WAN系統。遭root權限入侵後，該機構指示相關機構以已修補映像中的全新vManage、vSmart及vBond實例重建控制管理平面，並遷移其邊緣裝置。
防守方現在要做甚麼
- 限制通往連接埠22及830的流量，只允許已知控制器IP及其他已知IP。
- 審查/var/log/auth.log，查找來自未知或未獲授權IP地址、針對vmanage-admin的Accepted publickey項目。
常見問題
CVE-2026-20127發生了甚麼事？
BleepingComputer報道，UAT-11473利用Cisco Catalyst SD-WAN控制器的身份驗證繞過漏洞部署KeyDrift惡意軟件。
哪些Cisco SD-WAN產品受影響？
Cisco表示，無論裝置配置如何，該漏洞均影響Catalyst SD-WAN控制器、Manager及Validator。
CVE-2026-20127是否可讓攻擊者取得管理員存取權？
Cisco表示，未經身份驗證的遠程攻擊者可繞過身份驗證，在受影響系統取得管理員權限。
CVE-2026-20127的嚴重程度如何？
Cisco為其評定CVSS基礎評分10.0。
KeyDrift有甚麼作用？
Cisco Talos表示，KeyDrift旨在複製用於加密站點之間流量的金鑰，並儲存以供日後使用。
CVE-2026-20127是否有替代方案？
Cisco表示，沒有任何替代方案可處理此漏洞。該公司建議限制通往連接埠22及830的流量，只允許已知IP地址，並審查auth.log中來自未知或未獲授權IP地址的vmanage-admin Accepted publickey項目。
來源
- ED 26-03: Mitigate Vulnerabilities in Cisco SD-WAN Systems | CISA, CISA原始文件
- Cisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability, Cisco原始文件
- Hackers Exploited Cisco SD-WAN Flaw to Plant Malware Built to Steal Encryption Keys, The Hacker News
- Hackers exploit Cisco SD-WAN flaw to deploy custom KeyDrift malware, BleepingComputer
- Cisco SD-WAN Zero-Day Exploitation Tied to Volt Typhoon’s ‘Silent Train’ Network, SecurityWeek
- SD-WAN, Wikipedia
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| The Hacker News報道，黑客利用一項嚴重的Cisco Catalyst SD-WAN漏洞，將自訂惡意軟件植入控制機構SD-WAN網絡的系統內。 | The Hacker News | 引述 |
| BleepingComputer報道，UAT-11473利用Cisco Catalyst SD-WAN控制器內的身份驗證繞過漏洞CVE-2026-20127部署KeyDrift惡意軟件。 | BleepingComputer | 引述 |
| The Hacker News報道，CVE-2026-20127的CVSS評分為10.0。 | The Hacker News | 引述 |
| SecurityWeek報道，CVE-2026-20127的CVSS評分為10。 | SecurityWeek | 引述 |
| Cisco為CVE-2026-20127評定CVSS基礎評分10.0。 | Cisco | 已證實 |
| CISA表示，一名網絡威脅行為者正持續利用Cisco SD-WAN系統。 | CISA | 引述 |
| Cisco表示，該漏洞容許未經身份驗證的遠程攻擊者繞過身份驗證並取得管理員權限。 | Cisco | 已證實 |
| Cisco首次於2026年2月25日發布公告，並於2026年10月28日更新。 | Cisco | 已證實 |
| Cisco表示，沒有任何替代方案可處理此漏洞。 | Cisco | 已證實 |
| CISA指示相關機構在遭root權限入侵後，從已修補映像部署全新的vManage、vSmart及vBond實例，並遷移其邊緣裝置。 | CISA | 已證實 |
| CISA指出，CVE-2022-20775是相關的路徑穿越漏洞，容許已通過身份驗證的本地攻擊者取得提升權限並執行root指令。 | CISA | 已證實 |
| SD-WAN是採用軟件定義網絡技術及加密覆蓋隧道，連接機構內部地點的廣域網絡。 | Wikipedia | 已證實 |
| CISA於2026年2月25日發布報告。 | CISA | 已證實 |
| sec.cloudapps.cisco.com於2026年10月28日發布報告。 | sec.cloudapps.cisco.com | 已證實 |
未能核實
- 攻擊者是否傳送或使用任何收集所得的加密金鑰，尚未確定
- 受影響機構或裝置的數目，尚未確定
- UAT-11473與Volt Typhoon是否為同一組織，尚未確定
- 升級是否會從已遭入侵裝置移除KeyDrift，尚未確定
