Cisco SD-WAN nultodnevni napad KeyDrift podsjetnik je da uređaji koji čuvaju mrežni promet mogu postati najslabija točka u sigurnosnom postavu. Prema izvješću, hakeri su iskoristili Cisco SD-WAN nultodnevnu ranjivost, evidentiranu kao CVE-2026-20127, kako bi implementirali zlonamjerni softver nazvan KeyDrift, ukrali enkripcijske ključeve i stekli administrativni pristup.

Izvorni je članak kratak, pa se ovaj post drži onoga što u njemu stoji i usredotočuje se na to što te činjenice znače u praksi za mrežne timove i svakodnevne korisnike VPN-a.

Što CVE-2026-20127 i KeyDrift zapravo rade

Izvješće navodi tri stvari: nultodnevnu ranjivost (CVE-2026-20127) u Cisco SD-WAN-u, obitelj zlonamjernog softvera nazvanu KeyDrift i ishode napada, a to su ukradeni enkripcijski ključevi i administratorski pristup.

Nultodnevna ranjivost je nedostatak za koji prodavač ne zna ili ga još nije stigao ispraviti kada ga napadači počnu koristiti. To znači da se branitelji u trenutku početka napada ne mogu osloniti na zakrpu. Nedostatak je ulazni put. KeyDrift je alat koji su napadači koristili nakon što su ušli, a u izvješću se povezuje s krađom enkripcijskih ključeva.

SD-WAN proizvodi upravljaju kretanjem prometa između ureda, podatkovnih centara i cloud usluga. Budući da se nalaze u središtu tog prometa, administrativna kontrola nad njima vrlo je vrijedna napadaču.

Članak ne pruža pojedinosti poput toga koliko je organizacija zahvaćeno, kto stoji iza napada ili koliko je dugo iskorištavanje trajalo. Nećemo nagađati o tim točkama.

Zašto ukradeni enkripcijski ključevi pobjeđuju šifrirani promet

Enkripcija štiti podatke čineći ih nečitljivima bez pravog ključa. Matematika obično nije ono što zakaže. Rukovanje ključevima jest. Ako napadač dobije ključeve koje uređaj koristi za zaštitu prometa, zaštita se može potkopati iznutra, bez potrebe da se sama enkripcija razbije.

Administratorski pristup pogoršava problem. S administrativnom kontrolom napadač može biti u mogućnosti promijeniti konfiguraciju ili vidjeti kako je sustav postavljen. Izvješće potvrđuje da je administratorski pristup stečen, ali ne opisuje svaku radnju koju su napadači poduzeli s njim.

Šira je lekcija da je enkripcija samo onoliko jaka koliko je jak sustav koji drži ključeve. Tunel može biti dobro dizajniran i ipak biti izložen ako je pristupnik koji ga terminira kompromitiran. To vrijedi za korporativni SD-WAN, a vrijedi i za bilo koji VPN ili pristupni uređaj.

Što administratori trebaju učiniti sada: zakrpati, rotirati ključeve, pregledati zapise

Izvor ne navodi korake za otklanjanje, pa je sljedeće opća najbolja praksa, a ne smjernice iz članka. Provjerite Ciscove vlastite sigurnosne savjete za službene ispravke i ublažavanja.

  • Zakrpajte ili ublažite: Primijenite sve ispravke proizvođača za CVE-2026-20127 čim budu dostupni i slijedite zaobilazna rješenja proizvođača gdje ispravak još nije moguć.
  • Rotirajte ključeve i vjerodajnice: Budući da je KeyDrift povezan s krađom ključeva, tretirajte ključeve i vjerodajnice na svakom zahvaćenom sustavu kao potencijalno izložene. Zamijenite ih nakon što sustav bude osiguran, ne prije, jer bi inače novi ključevi također mogli biti ukradeni.
  • Pregledajte zapise: Pregledajte administratorske prijave, promjene konfiguracije i neuobičajene odlazne veze radi znakova neovlaštenog pristupa.
  • Ograničite izloženost: Ograničite upravljačka sučelja tako da nisu dostupna s otvorenog interneta i zahtijevajte jaku autentifikaciju za administratorske račune.
  • Pripremite se za kompromitaciju: Čuvajte izvanmrežne sigurnosne kopije provjerenih konfiguracija kako biste mogli ponovno izgraditi uređaj ako mu ne možete vjerovati.

Kako procijeniti sigurnost VPN i pristupnih uređaja

Mrežni pristupnici opetovano su mete jer su okrenuti internetu i pouzdani. Kada je SonicWall SMA 1000 nultodnevnu ranjivost iskorištavala INC ransomware skupina 22 dana prije nego što je zakrpa bila dostupna, to je pokazalo koliko dug može biti jaz između napada i ispravka za ovu klasu proizvoda.

Pri procjeni bilo kojeg VPN ili pristupnog proizvoda pomaže nekoliko pitanja:

  • Koliko brzo proizvođač priznaje i zakrpa ozbiljne nedostatke?
  • Objavljuje li jasne savjete koji objašnjavaju utjecaj i ublažavanja?
  • Jesu li ažuriranja lako primijeniti i mogu li se automatizirati?
  • Kako se enkripcijski ključevi pohranjuju i štite na uređaju?

Povjerenje u dobavni lanac i ažuriranja također je važno. Napad na dobavni lanac Rank Math PRO drugačija je vrsta incidenta, ali pokazuje da se čak i pouzdani kanali mogu zloupotrijebiti, pa se praćenje i provjera isplate.

Što to znači za vas

Ako upravljate mrežom koja koristi Cisco SD-WAN, tretirajte ovo kao prioritet: potvrdite svoju izloženost, primijenite smjernice proizvođača i pretpostavite da će ključeve možda trebati rotirati ako imate ikakav znak kompromitacije.

Ako ste svakodnevni korisnik VPN-a, vjerojatno nećete sami voditi SD-WAN, ali princip vrijedi i za vas. Vaša šifrirana veza ovisi o pružatelju usluge ili uređaju koji rukuje ključevima. Držite aplikacije i firmware usmjerivača ažurnima, koristite jake jedinstvene zaporke s višefaktorskom autentifikacijom gdje je ponuđena i dajte prednost proizvodima proizvođača koji otvoreno otkrivaju i ispravljaju probleme. Budite oprezni s neočekivanim upitima ili porukama koje vas navode na promjenu postavki, jer se napadači također oslanjaju na trikove poput socijalnog inženjeringa.

Ključni zaključci

Incident Cisco SD-WAN nultodnevne ranjivosti KeyDrift pokazuje da enkripcija može biti potkopana kada je pristupnik koji drži ključeve kompromitiran. Zakrpajte brzo, rotirajte ključeve nakon osiguranja sustava i pregledajte zapise za neovlaštene administratorske aktivnosti.

Za dalje, pročitajte što je nultodnevna ranjivost, a zatim usporedite ovaj incident s iskorištavanjem SonicWall SMA 1000. Promatranje koliko brzo je svaki proizvođač zakrpao i objavio pomoći će vam procijeniti proizvode na koje se oslanjate.