Über eine kritische Sicherheitslücke in Ciscos Catalyst SD-WAN haben Angreifer Schadsoftware auf den zentralen Steuerungsservern von Firmennetzen installiert. Das Programm KeyDrift liest die Schlüssel mit, die den Verkehr zwischen Standorten schützen. Cisco warnt, dass Zugänge aus der Zeit vor dem Update bestehen bleiben können.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenCiscos Sicherheitsabteilung Talos hat die Kampagne am 28. Oktober beschrieben.[1] Betroffen waren Organisationen aus Raumfahrt und Satellitendiensten, Rüstungs- und Luftfahrttechnik sowie politiknaher Forschungsinstitute. Wann die Angriffe liefen und ob Schlüssel abgeflossen sind, lässt Talos offen.
Das Wichtigste in Kürze
- Die Lücke CVE-2026-20127 erreicht 10,0 von 10 Punkten und verschafft Angreifern ohne Passwort Administratorrechte.
- Betroffen sind Controller, Manager und Validator, auch in Ciscos gehosteten Cloud-Umgebungen.
- Talos sieht große Überschneidungen mit der Infrastruktur, über die sich die Gruppe Volt Typhoon tarnt.
Wie kommt KeyDrift an die Schlüssel?
Ciscos SD-WAN verbindet Firmenstandorte über das Internet zu einem Netz. Darin erzeugt jeder Router regelmäßig einen AES-Schlüssel und schickt ihn an den Controller, früher vSmart genannt. Der Controller verteilt die Schlüssel an die übrigen Router. Als zentrale Verteilstelle sieht er damit das Schlüsselmaterial aller angeschlossenen Standorte.
Dort setzt die Komponente LittleFilch an. Sie klinkt sich in den Prozess vdaemon ein, über den die verschlüsselten Steuerverbindungen laufen, und liest die Nachrichten nach dem Entschlüsseln mit.[1] Für eine vorgegebene Liste von Routern speichert sie IP-Adressen und ein 32 Byte langes Feld, laut Talos Schlüsselmaterial für AES-256. Die Daten verschlüsselt sie mit RSA und kann sie per UDP verschicken.
Weil die Router ihre Schlüssel regelmäßig erneuern, brauchen Angreifer einen dauerhaften Zugang zum Controller. Dafür verändert KeyDrift die Startskripte des Systems. Das Hauptmodul PolyFlame läuft nur im Arbeitsspeicher, nimmt Befehle über den SD-WAN-Steuerverkehr entgegen und enthält keine feste Serveradresse.
Welche Gruppe steckt dahinter?
Talos führt die Gruppe als UAT-11473. Ihre Infrastruktur überschneidet sich nach Einschätzung von Talos deutlich mit Silent Train. So nennt Lumens Forschungsabteilung Black Lotus Labs ein Netz gehackter Router und Geräte, über das die Gruppe Volt Typhoon ihre Spuren verwischt. US-Behörden stufen Volt Typhoon seit 2024 als staatlich unterstützte chinesische Gruppe ein. Gleichsetzen will Talos beide Gruppen nicht.
Laut Lumen nutzte Volt Typhoon die Cisco-Lücke schon Ende 2025, also vor dem Patch, und auch noch Monate nach Ciscos Warnung im Februar.[3] Eine Verbindung zu KeyDrift stellt Lumen nicht her.
Das Muster wiederholt sich: Angreifer zielen auf Geräte an der Grenze zum Internet wie Firewalls, VPN-Zugänge und Router, auf denen sich meist keine Schutzsoftware für Endgeräte installieren lässt. So liefen zuletzt die Angriffswelle auf Firewalls von Fortinet und Palo Alto und die PHP2Shell-Angriffe auf Server. Arista meldete im Oktober die dritte ausgenutzte VeloCloud-Lücke seit Juli.
Ein Update schließt die Lücke, entfernt aber keinen Angreifer, der sich schon im Controller eingerichtet hat.
Michael Dobler, Herausgeber Dr. Web
Was sollten Betreiber jetzt tun?
Installieren Sie die abgesicherten Versionen, etwa 20.9.8.2, 20.12.6.1, 20.15.4.2 oder 20.18.2.1.[2] Die Zweige 20.11, 20.13, 20.14 und 20.16 erhalten keine Updates mehr. Bis zum Wechsel empfiehlt Cisco, die Ports 22 und 830 nur für bekannte Adressen zu öffnen. Eine andere Abhilfe als das Update gibt es laut Cisco nicht.
Prüfen Sie danach, ob schon jemand im System ist. Spuren sind veränderte Startskripte unter /etc/sv/, Dateien wie libdssl.so, libcommon.so oder /var/tmp/vdaemon.bin und im Protokoll /var/log/auth.log Anmeldungen von vmanage-admin aus unbekannten Netzen.[4] Finden Sie solche Spuren, gelten die IPsec-Schlüssel als kompromittiert und gehören ausgetauscht.
Für Unternehmen, die unter NIS2 fallen, kann ein solcher Fund ein erheblicher Sicherheitsvorfall sein. Nach § 32 BSI-Gesetz geht die erste Meldung binnen 24 Stunden an die gemeinsame Meldestelle von BSI und BBK, die ausführliche Meldung binnen 72 Stunden.[5]
Quellen
5 Quellen anzeigenQuellen ausblenden
- Cisco TalosInside KeyDrift: Analyzing historical UAT-11473 activity on Cisco SD-WAN
- CiscoCisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability (cisco-sa-sdwan-rpa-EHchtZk, erstmals 25. Februar 2026, Version 2.1 vom 28. Oktober 2026)
- Lumen Black Lotus LabsSilent Train: uncovering Volt Typhoon’s operational framework for zero-day exploitation and strategic access
- CiscoRemediate Catalyst SD-WAN Security Advisory – February 2026 (PDF)
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik§ 32 Meldepflichten
Mehr Newshunger?
- PHP2Shell: Mutmaßlich chinesische Angreifer übernehmen 25 Server, auch bei einer regierungsnahen US-Organisation
- Kampagne gegen Fortinet und Palo Alto: Angreifer erbeuteten mehr als 70.000 Zugangsdaten
- Arista: Angreifer nutzen die dritte kritische VeloCloud-Sicherheitslücke seit Juli
- Cisco findet mit KI-Modellen fünf Lücken der Höchststufe im eigenen Code
- Kritische Sicherheitslücke in UEFI-Firmware bedroht Server, die über das Netzwerk starten
- Alpine Linux: Ein Angreifer versuchte, eine kritische GitLab-Sicherheitslücke auszunutzen
