Атаката срещу Cisco SD-WAN zero-day KeyDrift е напомняне, че устройствата, които защитават мрежовия трафик, могат да се превърнат в най-слабото място в една система за сигурност. Според доклада хакери са се възползвали от zero-day уязвимост в Cisco SD-WAN, проследявана като CVE-2026-20127, за да разпространят зловреден софтуер, наречен KeyDrift, да откраднат ключове за криптиране и да получат административен достъп.

Изходната статия е кратка, затова тази публикация се придържа към това, което тя твърди, и се фокусира върху значението на тези факти на практика за мрежовите екипи и обикновените потребители на VPN.

Какво всъщност правят CVE-2026-20127 и KeyDrift

Докладът посочва три неща: zero-day уязвимост (CVE-2026-20127) в Cisco SD-WAN, семейство зловреден софтуер, наречено KeyDrift, и резултатите от атаката — откраднати ключове за криптиране и административен достъп.

Zero-day уязвимост е недостатък, за който доставчикът не знае или все още не е имал време да отстрани, когато атакуващите започнат да го използват. Това означава, че защитниците не могат да разчитат на корекция в момента, в който атаките започнат. Недостатъкът е начинът за проникване. KeyDrift е инструментът, който атакуващите са използвали след проникването, и в доклада е свързан с кражбата на ключове за криптиране.

SD-WAN продуктите управляват как трафикът се движи между офиси, центрове за данни и облачни услуги. Тъй като те стоят в центъра на този трафик, административният контрол върху такова устройство е много ценен за атакуващ.

Статията не предоставя подробности като колко организации са засегнати, кой стои зад атаките или колко дълго е продължавала експлоатацията. Няма да гадаем по тези точки.

Защо откраднатите ключове за криптиране побеждават криптирания трафик

Криптирането защитава данните, като ги прави нечетими без правилния ключ. Математиката обикновено не е това, което се проваля. Обработката на ключовете е. Ако атакуващ получи ключовете, които дадено устройство използва за защита на трафика, защитата може да бъде подкопана отвътре, без да е необходимо да се разбива самото криптиране.

Административният достъп задълбочава проблема. С административен контрол атакуващият може да промени конфигурацията или да види как е настроена системата. Докладът потвърждава, че е получен административен достъп, но не описва всички действия, които атакуващите са предприели с него.

По-общият урок е, че криптирането е толкова силно, колкото е силна системата, която съхранява ключовете. Един тунел може да бъде добре проектиран и въпреки това да бъде изложен, ако шлюзът, който го терминира, е компрометиран. Това е вярно за корпоративния SD-WAN и е вярно и за всяко VPN или шлюзово устройство.

Какво трябва да направят администраторите сега: кръпки, ротация на ключове, одит на логове

Източникът не изброява стъпки за отстраняване, така че следното представлява общи добри практики, а не указания от статията. Проверете собственото security advisory на Cisco за официални корекции и смекчаващи мерки.

  • Кръпка или смекчаване: Приложете всяка корекция от доставчика за CVE-2026-20127 веднага щом стане достъпна, и следвайте заобиколните решения на доставчика, когато корекция все още не е възможна.
  • Ротирайте ключове и идентификационни данни: Тъй като KeyDrift е свързан с кражба на ключове, третирайте ключовете и идентификационните данни на всяка засегната система като потенциално компрометирани. Подменете ги след като системата бъде защитена, не преди, иначе новите ключове също могат да бъдат откраднати.
  • Одит на логове: Прегледайте административните входове, промените в конфигурацията и необичайните изходящи връзки за признаци на неоторизиран достъп.
  • Ограничете излагането: Ограничете интерфейсите за управление, така че да не са достъпни от открития интернет, и изисквайте силна автентикация за администраторските акаунти.
  • Подгответе се за компрометиране: Поддържайте офлайн резервни копия на изправни конфигурации, за да можете да пресъздадете устройство, ако не можете да му се доверите.

Как да прецените сигурността на VPN и шлюзови устройства

Мрежовите шлюзове многократно са били мишена, защото са изложени на интернет и се ползват с доверие. Когато zero-day уязвимостта в SonicWall SMA 1000 беше експлоатирана от групата за ransomware INC в продължение на 22 дни преди да има налична корекция, това показа колко дълга може да бъде разликата между атака и поправка за този клас продукти.

Когато оценявате всеки VPN или шлюзов продукт, няколко въпроса помагат:

  • Колко бързо доставчикът признава и отстранява сериозни недостатъци?
  • Публикува ли ясни advisory, които обясняват въздействието и смекчаващите мерки?
  • Лесни ли са за прилагане актуализациите и могат ли да бъдат автоматизирани?
  • Как се съхраняват и защитават ключовете за криптиране на устройството?

Доверието във веригата за доставки и актуализациите също е важно. Атаката по веригата за доставки на Rank Math PRO е различен вид инцидент, но показва, че дори доверени канали могат да бъдат злоупотребени, така че мониторингът и проверката си заслужават усилията.

Какво означава това за вас

Ако управлявате мрежа, която използва Cisco SD-WAN, третирайте това като приоритет: потвърдете излагането си, приложете указанията на доставчика и приемете, че ключовете може да се нуждаят от ротация, ако имате какъвто и да е признак на компрометиране.

Ако сте обикновен потребител на VPN, е малко вероятно сами да управлявате SD-WAN, но принципът важи и за вас. Вашата криптирана връзка зависи от доставчика или устройството, което обработва ключовете. Поддържайте приложенията и фърмуера на рутера актуализирани, използвайте силни уникални пароли с многофакторна автентикация, където се предлага, и предпочитайте продукти от доставчици, които открито разкриват и отстраняват проблеми. Бъдете внимателни с неочаквани подкани или съобщения, които ви подтикват да промените настройки, тъй като атакуващите разчитат и на трикове като социално инженерство.

Основни изводи

Инцидентът с Cisco SD-WAN zero-day KeyDrift показва, че криптирането може да бъде подкопано, когато шлюзът, който съхранява ключовете, е компрометиран. Прилагайте кръпки бързо, ротирайте ключовете след защитаване на системите и преглеждайте логовете за неоторизирана административна активност.

За да отидете по-далеч, прочетете какво представлява zero-day уязвимостта, след което сравнете този инцидент с експлоатацията на SonicWall SMA 1000. Разглеждането колко бързо всеки доставчик е коригирал и разкрил информация ще ви помогне да прецените продуктите, на които разчитате.