Атака KeyDrift через zero-day у Cisco SD-WAN нагадує, що пристрої, які захищають мережевий трафік, можуть стати найслабшою ланкою в системі безпеки. Згідно зі звітом, хакери використали zero-day у Cisco SD-WAN, відому як CVE-2026-20127, щоб розгорнути шкідливе програмне забезпечення під назвою KeyDrift, викрасти ключі шифрування та отримати адміністративний доступ.

Джерельна стаття коротка, тому цей допис обмежується тим, що в ній зазначено, і зосереджується на тому, що ці факти означають на практиці для мережевих команд і звичайних користувачів VPN.

Що насправді роблять CVE-2026-20127 і KeyDrift

У звіті названо три речі: вразливість нульового дня (CVE-2026-20127) у Cisco SD-WAN, сімейство шкідливого програмного забезпечення під назвою KeyDrift і результати атаки — викрадені ключі шифрування та адміністративний доступ.

Вразливість нульового дня — це недолік, про який постачальник не знає або ще не встиг виправити, коли зловмисники починають його використовувати. Це означає, що захисники не можуть розраховувати на патч у момент початку атак. Цей недолік — це спосіб проникнути всередину. KeyDrift — це інструмент, який зловмисники використали після проникнення, і в звіті він пов'язаний із викраденням ключів шифрування.

Продукти SD-WAN керують тим, як трафік рухається між офісами, центрами обробки даних і хмарними сервісами. Оскільки вони перебувають у центрі цього трафіку, адміністративний контроль над одним із них є надзвичайно цінним для зловмисника.

У статті не наведено таких деталей, як кількість постраждалих організацій, хто стоїть за атаками або як довго тривала експлуатація. Ми не будемо здогадуватися щодо цих моментів.

Чому викрадені ключі шифрування долають зашифрований трафік

Шифрування захищає дані, роблячи їх нечитабельними без правильного ключа. Зазвичай зраджує не математика, а робота з ключами. Якщо зловмисник отримує ключі, які пристрій використовує для захисту трафіку, захист можна підірвати зсередини, без потреби зламувати саме шифрування.

Адміністративний доступ посилює проблему. Маючи адміністративний контроль, зловмисник може змінювати конфігурацію або переглядати, як налаштована система. У звіті підтверджено, що адміністративний доступ було отримано, але не описано всі дії, які зловмисники з ним виконали.

Ширший урок полягає в тому, що шифрування є настільки сильним, наскільки сильною є система, яка зберігає ключі. Тунель може бути добре спроєктований і все одно бути вразливим, якщо шлюз, який його завершує, скомпрометовано. Це стосується корпоративного SD-WAN, а також будь-якого VPN- або шлюзового пристрою.

Що адміністраторам робити зараз: патчити, ротувати ключі, перевіряти логи

Джерело не наводить кроків усунення, тому наведене нижче є загальною найкращою практикою, а не рекомендаціями зі статті. Перевірте власну рекомендацію Cisco з безпеки щодо офіційних виправлень і пом'якшень.

  • Патчити або пом'якшувати: Застосуйте будь-яке виправлення постачальника для CVE-2026-20127 щойно воно стане доступним, і дотримуйтесь обхідних рішень постачальника, де виправлення ще неможливе.
  • Ротувати ключі та облікові дані: Оскільки KeyDrift пов'язаний із викраденням ключів, вважайте ключі та облікові дані на будь-якій ураженій системі потенційно скомпрометованими. Замініть їх після захисту системи, а не до того, інакше нові ключі також можуть бути викрадені.
  • Перевіряти логи: Перегляньте адміністративні входи, зміни конфігурації та незвичайні вихідні з'єднання на ознаки несанкціонованого доступу.
  • Обмежити вплив: Обмежте інтерфейси управління так, щоб вони не були доступні з відкритого інтернету, і вимагайте надійної автентифікації для адміністративних облікових записів.
  • Готуватися до компрометації: Зберігайте офлайн-резервні копії перевірених конфігурацій, щоб мати змогу перебудувати пристрій, якщо ви не можете йому довіряти.

Як оцінювати безпеку VPN- і шлюзових пристроїв

Мережеві шлюзи неодноразово були цілями, оскільки вони доступні з інтернету і їм довіряють. Коли zero-day SonicWall SMA 1000 експлуатувала група програм-вимагачів INC протягом 22 днів до появи патча, це показало, наскільки довгим може бути розрив між атакою та виправленням для цього класу продуктів.

Оцінюючи будь-який VPN- або шлюзовий продукт, кілька запитань допомагають:

  • Як швидко постачальник визнає та виправляє серйозні недоліки?
  • Чи публікує він чіткі рекомендації, які пояснюють вплив і пом'якшення?
  • Чи легко застосовувати оновлення і чи можна їх автоматизувати?
  • Як зберігаються та захищаються ключі шифрування на пристрої?

Довіра до ланцюга постачання та оновлень також важлива. Атака на ланцюг постачання Rank Math PRO — це інцидент іншого типу, але він показує, що навіть довірені канали можуть бути зловживані, тому моніторинг і перевірка варті зусиль.

Що це означає для вас

Якщо ви керуєте мережею, яка використовує Cisco SD-WAN, сприймайте це як пріоритет: підтвердіть свою вразливість, застосуйте рекомендації постачальника та припускайте, що ключі може знадобитися ротувати, якщо у вас є будь-які ознаки компрометації.

Якщо ви звичайний користувач VPN, ви навряд чи самі керуєте SD-WAN, але принцип стосується і вас. Ваше зашифроване з'єднання залежить від постачальника або пристрою, який працює з ключами. Тримайте застосунки та прошивку роутера оновленими, використовуйте надійні унікальні паролі з багатофакторною автентифікацією, де вона пропонується, і віддавайте перевагу продуктам постачальників, які відкрито розкривають і виправляють проблеми. Будьте обережні щодо неочікуваних запитів або повідомлень, які спонукають вас змінити налаштування, оскільки зловмисники також покладаються на такі хитрощі, як соціальна інженерія.

Ключові висновки

Інцидент KeyDrift через zero-day у Cisco SD-WAN показує, що шифрування може бути підірване, коли шлюз, який зберігає ключі, скомпрометовано. Патчте швидко, ротуйте ключі після захисту систем і переглядайте логи на предмет несанкціонованої адміністративної активності.

Щоб дізнатися більше, прочитайте, що таке вразливість нульового дня, а потім порівняйте цей інцидент з експлуатацією SonicWall SMA 1000. Аналіз того, як швидко кожен постачальник випускав патчі та розкривав інформацію, допоможе вам оцінювати продукти, на які ви покладаєтесь.