--- title: "Luka w Cisco SD-WAN wykorzystana do wdrożenia malware KeyDrift" description: "Grupa UAT-11473 wykorzystuje lukę CVE-2026-20127 w kontrolerach Cisco Catalyst SD-WAN do wdrażania malware KeyDrift. Złośliwe oprogramowanie może przechwytywać ruch sterujący i pozyskiwać materiał kryptograficzny." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-cisco-sd-wan-wykorzystana-do-wdrozenia-malware-keydrift" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-cisco-sd-wan-wykorzystana-do-wdrozenia-malware-keydrift/index.md" date_published: "2026-11-06T17:48:01.443Z" date_modified: "2026-11-06T17:48:01.443Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "cisco" - "sd-wan" - "keydrift" - "cve-2026-20127" - "cyberataki" source_url: "https://www.bleepingcomputer.com/news/security/hackers-exploit-cisco-sd-wan-flaw-to-deploy-custom-keydrift-malware/" source_name: "BleepingComputer" --- # Luka w Cisco SD-WAN wykorzystana do wdrożenia malware KeyDrift > Grupa UAT-11473 wykorzystała krytyczną lukę w kontrolerach Cisco SD-WAN, aby wdrożyć malware zdolne do przechwytywania danych i kluczy. ## Kluczowe informacje - CVE-2026-20127 pozwala zdalnie uzyskać uprzywilejowany dostęp do kontrolerów Cisco Catalyst SD-WAN. - Atakujący wdrażają framework KeyDrift, który działa w procesach płaszczyzny sterowania. - Malware może przechwytywać odszyfrowany ruch i pozyskiwać materiał związany z kluczami IPsec. - Cisco zaleca instalację poprawek oraz skorzystanie z przewodnika wzmacniania konfiguracji SD-WAN. Nowo zidentyfikowana grupa zaawansowanych cyberzagrożeń, śledzona jako UAT-11473, wykorzystywała lukę CVE-2026-20127 w kontrolerach Cisco Catalyst SD-WAN. Celem operacji było wdrożenie własnego frameworka malware o nazwie KeyDrift. Według badaczy Cisco Talos narzędzie zaprojektowano tak, aby utrzymywało długotrwały dostęp do kontrolerów i automatyzowało pozyskiwanie wrażliwych danych. ## Krytyczna luka w kontrolerach Cisco CVE-2026-20127 to podatność pozwalająca zdalnemu napastnikowi ominąć uwierzytelnianie i uzyskać uprzywilejowany dostęp do kontrolera oraz menedżera Cisco Catalyst SD-WAN. W praktyce luka może umożliwić także dodawanie nieautoryzowanych urządzeń lub równorzędnych elementów do środowiska sieciowego. Cisco udostępniło poprawkę w lutym 2026 roku, dlatego aktualizacja kontrolerów pozostaje podstawowym działaniem ograniczającym ryzyko. - Cisco Talos zaobserwowało wykorzystanie luki przeciwko organizacjom związanym z usługami kosmicznymi i satelitarnymi, sektorem obronnym i lotniczym oraz badaniami nad polityką. - Według opisu aktywności grupa UAT-8616 wykorzystywała tę podatność jako zero-day co najmniej od 2023 roku. - Nowsze analizy łączyły wykorzystywanie luki z chińską grupą Volt Typhoon, jednak badacze nie przedstawili definitywnego potwierdzenia wszystkich powiązań. - Cisco Talos wskazało możliwe podobieństwa między UAT-11473 a siecią ukrytego dostępu Silent Train, opisywaną także w raporcie firmy Lumen. ## KeyDrift działa wewnątrz procesów sieciowych KeyDrift nie jest pojedynczym plikiem, lecz frameworkiem dostosowanym do działania na instancjach kontrolerów Cisco SD-WAN. Talos ocenia z wysoką pewnością, że jego zadaniem jest utrzymanie dostępu, obserwowanie komunikacji płaszczyzny sterowania oraz przechwytywanie danych związanych z szyfrowaniem transmisji. Malware może analizować ruch po jego odszyfrowaniu wewnątrz kontrolera, a następnie przygotowywać zebrane informacje do wysłania do infrastruktury atakujących. Szczególne znaczenie ma możliwość pozyskiwania metadanych sesji sterujących oraz materiału kryptograficznego używanego do ochrony ruchu w płaszczyźnie danych. Badacze wskazują, że KeyDrift potrafi gromadzić identyfikatory adresowe wybranych węzłów i dane oceniane jako klucze AES-256 dla połączeń IPsec. Informacje są zabezpieczane kryptograficznie przed dalszym przekazaniem, co może utrudniać ich wykrycie podczas analizy komunikacji. ## Dwa moduły i zalecane działania obronne Framework składa się z dwóch głównych komponentów. PolyFlame odpowiada za utrzymanie obecności w legalnych procesach usługowych, wykonywanie poleceń, transfer plików oraz przekazywanie komunikacji między serwerem sterującym a innymi elementami infrastruktury. LittleFilch przechwytuje komunikaty sesji sterujących po ich odszyfrowaniu i wybiera z nich informacje istotne dla dalszej działalności napastników. Talos odnotował oznaki rozwoju obu modułów, w tym nowe mechanizmy utrudniające analizę oraz różne sposoby podszywania się pod procesy. Cisco zaleca administratorom niezwłoczne zastosowanie dostępnych aktualizacji bezpieczeństwa dla CVE-2026-20127 oraz sprawdzenie dedykowanego przewodnika wzmacniania konfiguracji Catalyst SD-WAN. Organizacje korzystające z tych kontrolerów powinny również przeanalizować logi i nietypową aktywność procesów zgodnie z własnymi procedurami reagowania na incydenty. Sama instalacja poprawki ogranicza możliwość dalszego wykorzystania luki, ale nie potwierdza, że środowisko nie zostało wcześniej naruszone. W przypadku podejrzenia infekcji potrzebna jest osobna weryfikacja kontrolerów i połączeń zarządzających. ## Wyjaśnienie pojęć ### [SD-WAN](https://najnowsze-informacje.pl/definicje/sd-wan) Architektura zarządzania siecią rozległą, która wykorzystuje oprogramowanie do centralnego sterowania połączeniami między lokalizacjami. ### [APT](https://najnowsze-informacje.pl/definicje/apt) Określenie grupy prowadzącej długotrwałe, ukierunkowane działania z użyciem zaawansowanych narzędzi. ### [podatność typu zero day](https://najnowsze-informacje.pl/definicje/podatnosc-typu-zero-day) Luka w zabezpieczeniach, która jest wykorzystywana, zanim zostanie udostępniona poprawka lub zanim użytkownicy zdążą skutecznie zareagować. ## Źródło pierwotne [BleepingComputer](https://www.bleepingcomputer.com/news/security/hackers-exploit-cisco-sd-wan-flaw-to-deploy-custom-keydrift-malware/) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-11-06T17:48:01.443Z - **Ostatnia aktualizacja:** 2026-11-06T17:48:01.443Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-cisco-sd-wan-wykorzystana-do-wdrozenia-malware-keydrift](https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-cisco-sd-wan-wykorzystana-do-wdrozenia-malware-keydrift) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-cisco-sd-wan-wykorzystana-do-wdrozenia-malware-keydrift/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-cisco-sd-wan-wykorzystana-do-wdrozenia-malware-keydrift/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Luka w Cisco SD-WAN wykorzystana do wdrożenia malware KeyDrift”, 2026-11-06, https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-cisco-sd-wan-wykorzystana-do-wdrozenia-malware-keydrift