Cisco SD-WAN: KeyDrift roba claves de los controladores

En ARX News ya hemos seguido la vulnerabilidad CVE-2026-76504 de Cisco Catalyst SD-WAN Manager. El 28 de octubre de 2026 Cisco Talos describió otro caso en la misma plataforma, con una vulnerabilidad distinta y más antigua, CVE-2026-20127: un grupo que Talos llama UAT-11473 la explotó para instalar en los controladores SD-WAN KeyDrift, un framework de malware pensado para permanecer mucho tiempo en el sistema y llevarse el material criptográfico que protege el tráfico entre sedes.

Las fuentes de este artículo son tres medios, pero el texto de The Hacker News no estaba disponible: los detalles proceden de SecurityWeek y BleepingComputer, que recogen el análisis de Talos. Cuando ambos difieren, lo indicamos.

La vulnerabilidad: CVE-2026-20127

• Producto: componentes controladores de Cisco Catalyst SD-WAN; según BleepingComputer, están afectados Controller y Manager.
• Gravedad: CVSS 10, el máximo.
• Publicación y corrección: febrero de 2026.
• Efecto: según SecurityWeek, un atacante remoto, sin credenciales, elude la autenticación de peering entre los componentes de control, obtiene derechos de administrador y puede modificar la configuración de la red SD-WAN. BleepingComputer añade que el acceso permite registrar peers no autorizados.
• Explotación previa: aquí las fuentes no coinciden. BleepingComputer escribe que otro grupo, UAT-8616, explota la falla como zero-day al menos desde 2023. SecurityWeek, en cambio, informa de que, según Lumen, Volt Typhoon ya la explotaba a finales de 2025 y siguió haciéndolo mucho después de la publicación de Cisco.

Cómo funciona KeyDrift

Según Talos, citado por ambos medios, KeyDrift trabaja dentro de procesos legítimos del plano de control, por lo que ve los mensajes de control después de que el controlador los haya descifrado. Tiene dos componentes principales, y Talos observó señales de desarrollo en curso, con nuevos mecanismos antidepuración y distintas formas de hacerse pasar por procesos del sistema.

PolyFlame es la puerta trasera. BleepingComputer informa de que se ejecuta dentro de los procesos vdaemon, instalada mediante scripts de arranque de servicios modificados y un injector. Permite:

• ejecutar comandos con un componente al estilo de TinyShell;
• subir y descargar archivos;
• actuar como nodo intermedio de mando y control (C2), reenviando las comunicaciones entre el servidor del atacante y otros hosts.

LittleFilch intercepta las sesiones de control. Según BleepingComputer, engancha la función SSL_read para leer los mensajes ya descifrados y, para una lista de nodos edge predefinidos, extrae los identificadores IP y un campo de 32 bytes que Talos considera material de clave AES-256 para el IPsec del plano de datos. Los datos recogidos se cifran con RSA, se guardan en /var/tmp/vdaemon.bin y luego se envían a los atacantes por UDP.

En la práctica, quien tenga estas claves podría descifrar el tráfico entre sedes protegido por los túneles IPsec de la SD-WAN, si además consigue interceptarlo. Las fuentes no dicen si esto ha ocurrido.

En términos de MITRE ATT&CK, las técnicas descritas corresponden a: T1190 (Exploit Public-Facing Application) para el acceso inicial, T1037 (Boot or Logon Initialization Scripts) para los scripts de arranque modificados, T1055 (Process Injection) y T1036 (Masquerading) para la ejecución dentro de vdaemon, T1622 (Debugger Evasion), T1090 (Proxy) para el papel de nodo intermedio, T1074 (Data Staged) para el archivo en /var/tmp y T1048 (Exfiltration Over Alternative Protocol) para el envío por UDP.

Quién está detrás

Talos describe a UAT-11473 como un grupo APT muy sofisticado que ataca servicios espaciales y satelitales, tecnologías de defensa y aeroespaciales y centros de investigación sobre políticas. Según SecurityWeek, Talos habla de actividad «histórica» sin indicar cuándo se produjeron los ataques.

Talos considera con alta confianza que la infraestructura de UAT-11473 se solapa en gran medida con Silent Train, la red de cadenas efímeras de dispositivos comprometidos que Black Lotus Labs, de Lumen, atribuye a Volt Typhoon. Sin embargo, Talos no afirma que se trate del mismo grupo, y SecurityWeek precisa que el informe de Lumen no menciona ni KeyDrift ni UAT-11473.

Impacto para las empresas europeas e italianas

Las víctimas indicadas están sobre todo en Estados Unidos y en sectores como defensa, espacio y telecomunicaciones. Pero el caso afecta a cualquiera que use Cisco Catalyst SD-WAN: por los controladores pasan la configuración y las claves de toda la red de área extensa. Un compromiso no se ve desde los equipos de las sedes y, si se han sustraído las claves del plano de datos, la confidencialidad del tráfico entre sedes ya no está garantizada aunque se haya eliminado el malware.

Para las entidades sujetas a NIS2, y en particular para quienes trabajan en defensa, aeroespacial, telecomunicaciones o sanidad con varios centros conectados por SD-WAN, el compromiso de un controlador debe tratarse como incidente significativo y valorarse para la notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN.

Qué hacer ya

1. Comprueba la actualización: verifica que todos los componentes de Catalyst SD-WAN (Controller y Manager, incluidos los entornos de recuperación ante desastres) tengan la corrección de febrero de 2026 para CVE-2026-20127. Las fuentes no enumeran las versiones: consulta el boletín de Cisco.
2. Aplica la guía de bastionado que Cisco recomienda para las instalaciones de Catalyst SD-WAN.
3. Busca rastros de KeyDrift en los controladores:
   • el archivo /var/tmp/vdaemon.bin;
   • cambios en los scripts de arranque de los servicios;
   • procesos vdaemon anómalos o duplicados;
   • tráfico UDP saliente de los controladores hacia destinos desconocidos.
4. Revisa los peers: repasa la lista de peers registrados y los cambios recientes de configuración, en busca de dispositivos que no reconozcas.
5. Si encuentras indicios de compromiso, da por expuestas las claves del plano de datos: reconstruye los controladores a partir de imágenes limpias, regenera claves y certificados, conserva las pruebas antes de intervenir y valora las obligaciones de notificación.
6. Aísla la gestión: los controladores no deben ser accesibles desde Internet ni desde redes no fiables.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet y cuáles tienen vulnerabilidades conocidas, para que sepas si hay componentes SD-WAN accesibles desde fuera. ARX Sentry recoge los registros de los firewalls y de otros dispositivos de red en un colector central, útil para detectar tráfico saliente inusual de los controladores. ARX Horizon te permite consultar las vulnerabilidades desde el portal y buscar indicadores de compromiso.

Última actualización: 29 de octubre de 2026