Cisco SD-WAN sotto attacco: CVE-2026-20127 installa KeyDrift e ruba le chiavi AES del traffico aziendale

Una vulnerabilità critica nei sistemi Cisco Catalyst SD-WAN è stata sfruttata da attaccanti per installare un malware mirato al furto delle chiavi di cifratura, con impatti potenzialmente gravi sulla sicurezza del traffico tra sedi.

Il problema è identificato come CVE 2026 20127 con punteggio CVSS 10.0 e consente a un attaccante remoto non autenticato di bypassare i controlli di accesso e ottenere privilegi amministrativi sui componenti di controllo della rete SD-WAN. In pratica, la falla apre la strada alla compromissione di Controller, Manager e Validator, sia in ambienti on-premises sia in distribuzioni cloud gestite.

Malware osservato: KeyDrift

Il malware osservato, denominato KeyDrift, è progettato per raccogliere il materiale crittografico usato per proteggere le comunicazioni. Nello scambio chiavi tradizionale di Cisco, i router SD-WAN generano periodicamente una chiave AES per cifrare il traffico e la inviano al Controller, che la redistribuisce agli altri router. Un processo centrale chiamato vdaemon gestisce le connessioni di controllo cifrate che trasportano queste chiavi.

Dopo la compromissione del Controller, un componente del malware si aggancia a vdaemon e legge i messaggi di controllo dopo la decifratura, estraendo indirizzi IP dei router edge e un campo di 32 byte valutato come materiale di chiave AES-256.

Esfiltrazione e persistenza

I dati raccolti vengono cifrati con RSA e salvati su file, con la possibilità di invio tramite UDP verso un indirizzo configurato in un file di impostazioni che viene eliminato dopo la lettura.

La catena di esecuzione include modifiche a script runit usati per avviare servizi di sistema. In uno scenario tipico, lo script del servizio SSH avvia prima un loader che prepara gli identificativi di processo di vdaemon e poi un injector inserisce in memoria il modulo principale.

Funzionalità del modulo principale

Il modulo principale può comportarsi come backdoor in stile TinyShell per eseguire comandi e gestire file, oppure come relay per inoltrare istruzioni. Un dettaglio rilevante è che i comandi possono essere veicolati nel traffico di controllo SD-WAN, senza indirizzi di comando e controllo hardcoded nei campioni analizzati.

Mitigazioni e verifica di compromissione

Cisco ha rilasciato correzioni per diverse release e non esistono workaround completi. In attesa dell’upgrade, è possibile ridurre la superficie di attacco limitando l’accesso alle porte 22 e 830 a indirizzi IP noti, ma questa misura non rimuove eventuale malware già presente.

Per la verifica di compromissione è utile controllare i log di autenticazione alla ricerca di accessi sospetti e avviare procedure di incident response se emergono indicatori.