Hakerët shfrytëzuan cenueshmërinë kritike CVE-2026-20127 në Cisco Catalyst SD-WAN për të instaluar malware-in KeyDrift në sistemet e kontrollit të rrjetit. E korrigjuar në shkurt, cenueshmëria ka rezultat CVSS 10.0 dhe lejon anashkalimin e autentikimit e marrjen e privilegjeve administrative nga distanca.
Sipas Cisco Talos, KeyDrift synon të kopjojë çelësat që enkriptojnë trafikun mes vendndodhjeve. Komponenti LittleFilch lexon mesazhet e kontrollit pas dekriptimit dhe mbledh të dhëna që Talos i vlerëson si material çelësash AES-256. Ai i ruan të enkriptuara dhe mund t’i dërgojë përmes UDP. Talos nuk përcakton kur ndodhën sulmet apo nëse u dërguan çelësa jashtë sistemeve.
Grupi UAT-11473, pas KeyDrift, ka shënjestruar sektorët hapësinorë, satelitorë, të mbrojtjes dhe kërkimit të politikave. Talos vlerëson se infrastruktura e tij mbivendoset ndjeshëm me Silent Train, një rrjet pajisjesh të komprometuara që, sipas Lumen, është përdorur nga Volt Typhoon. Kjo lidhje nuk provon se UAT-11473 dhe Volt Typhoon janë i njëjti grup.
Cenueshmëria prek Controller, Manager dhe Validator, si në instalimet lokale, ashtu edhe në shërbimet cloud të Cisco-s, përfshirë Cisco Managed dhe FedRAMP. Cisco thotë se ka dijeni për shfrytëzim të kufizuar. Nuk ka zgjidhje alternative; nevojitet përmirësimi në versione të korrigjuara.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
