Die Schwachstelle erlaubt es einem nicht authentifizierten Angreifer aus der Ferne, die Authentifizierung zu umgehen und administrative Rechte auf den Steuerungskomponenten zu erlangen. Auf einem Controller kann sich der Angreifer als hoch privilegiertes internes Konto anmelden, das nicht root ist. Als Cisco die Lücke im Februar offenlegte, verfolgte Talos die Ausnutzung unter der Bezeichnung UAT-8616 – ein Aktivitätscluster, das nach Talos-Angaben mindestens bis 2023 zurückreicht.

Beim herkömmlichen Schlüsselaustausch von Cisco erzeugt jeder SD-WAN-Router periodisch einen AES-Schlüssel für seinen Verkehr und sendet ihn an den Catalyst SD-WAN Controller (früher vSmart). Der Controller reicht die Schlüssel an die anderen Router weiter. Auf dem Controller betreibt der Prozess vdaemon die verschlüsselten Kontrollverbindungen, über die diese Schlüssel laufen.

Auf einem kompromittierten Controller klinkt sich die KeyDrift-Komponente LittleFilch in vdaemon ein und liest Kontrollnachrichten mit, nachdem sie entschlüsselt wurden. Für eine voreingestellte Liste von Edge-Routern extrahiert sie deren IP-Adressen sowie ein 32 Byte großes Feld, das Talos als das vom Controller weitergereichte AES-256-Schlüsselmaterial einstuft. LittleFilch verschlüsselt das Gesammelte mit RSA und schreibt es in eine Datei; anschließend kann es die Daten per UDP an eine Adresse senden, die in einer Konfigurationsdatei steht – diese wird nach dem Auslesen gelöscht. Talos konnte die Datei nicht wiederherstellen.

Die Gruppe hinter KeyDrift, bei Talos als UAT-11473 geführt, hat es auf Raumfahrt- und Satellitendienste, Verteidigungs- und Luftfahrttechnik sowie politische Forschung abgesehen. Ihre Infrastruktur überschneidet sich nach Einschätzung von Talos mit hoher Zuversicht „erheblich" mit Silent Train. Unter diesem Namen führt Lumens Black Lotus Labs ein Netz gekaperter SOHO-, IoT- und Unternehmensgeräte. Laut Lumen nutzte Volt Typhoon dieses Netz, um eigene Aktivitäten zu verschleiern; CISA, NSA und FBI hatten 2024 erklärt, dass es sich bei Volt Typhoon um eine chinesische staatlich gesteuerte Gruppe handelt. Talos verknüpft UAT-11473 ausschließlich über diese Infrastrukturüberschneidung mit Volt Typhoon und sagt weder, dass beide identisch seien, noch wie sich UAT-11473 zu dem im Februar gemeldeten Cluster UAT-8616 verhält.

Unabhängig davon teilte Lumen am 28. Oktober mit, Volt Typhoon habe CVE-2026-20127 bereits gegen Ende 2025 ausgenutzt und die Ausnutzung auch nach der Offenlegung durch Cisco im Februar fortgesetzt. Einen Bezug zu KeyDrift stellt Lumen dabei nicht her.

KeyDrift startet laut Talos vorrangig über veränderte runit-Skripte, mit denen Cisco-SD-WAN-Geräte ihre Dienste hochfahren. In einer Variante startet das Skript für den SSH-Dienst zunächst ein Ladeskript namens conf_sshd, bevor der eigentliche SSH-Server läuft. conf_sshd schreibt die Prozess-IDs von vdaemon in eine Datei, und das Werkzeug rsshd injiziert das Hauptmodul PolyFlame in jeden dieser Prozesse.

PolyFlame läuft im Speicher innerhalb von vdaemon. Es kann als TinyShell-ähnliche Hintertür Befehle ausführen sowie Dateien lesen und schreiben oder als Relais Befehle zwischen seinem Befehlsserver und anderen Maschinen weiterleiten. Es ist darauf ausgelegt, Befehle innerhalb des SD-WAN-Kontrollverkehrs entgegenzunehmen; die analysierten Samples enthielten keine fest einprogrammierte Serveradresse.

Auf einem kompromittierten Validator (früher vBond) betreibt ein gefälschter aaamgr-Dienst unter /etc/sv/aaamgr/ einen gepackten Loader namens aaamgrd, der PolyFlame entschlüsselt und ausführt. Ciscos echte aaamgr-Komponente ist ein Python-Paket und läuft normalerweise nicht als kompilierter Dienst. Zudem gibt es Hinweise auf Timestomping: Mit ausgeführten Befehlen übertrug die Gruppe Zeitstempel und Rechte vorhandener Dateien auf ihre eigenen Dateien.

Betroffene Produkte und Abhilfe

CVE-2026-20127 betrifft Catalyst SD-WAN Controller (früher vSmart), Manager (früher vManage) und Validator (früher vBond) unabhängig von deren Konfiguration. Betroffen sind sowohl lokale Installationen als auch Ciscos gehostete SD-WAN-Cloud-Umgebungen einschließlich der Cisco-Managed- und FedRAMP-Umgebungen. Den Validator ergänzte Cisco am 16. Juni in seinem Sicherheitshinweis. Cisco gibt an, von einer begrenzten Ausnutzung zu wissen. Einen Workaround gibt es nicht. Versionen vor 20.9 sowie die Zweige 20.11, 20.13, 20.14 und 20.16 haben das Ende der Softwarepflege erreicht.

Bis zum Upgrade können lokale Kunden den Zugriff auf die Ports 22 und 830 auf die IP-Adressen bekannter Controller und anderer bekannter Systeme beschränken. Diese Maßnahme funktionierte laut Cisco in einer Testumgebung; Kunden sollten die Wirksamkeit im eigenen Netz prüfen. Für die gehosteten Cloud-Umgebungen bestehen solche Schutzvorkehrungen bereits. Bereits auf einem Gerät vorhandene Schadsoftware wird durch das Blockieren der Ports nicht entfernt.

Suche nach KeyDrift

Talos empfiehlt, Ciscos Fixes einzuspielen, den Catalyst-SD-WAN-Härtungsleitfaden zu befolgen und auf Anzeichen nachgelagerter Aktivität zu achten. Wer solche Spuren findet, soll die Incident Response starten und kann sich an Ciscos Technical Assistance Center (TAC) wenden. Ob ein Upgrade KeyDrift von einem bereits kompromittierten Gerät entfernt oder ob Schlüssel ausgetauscht werden sollten, bleibt offen. Ciscos Remediation-Leitfaden vom Februar warnt, es könne „bestehende Exploits, die weiterhin aktiv sind" aus der Zeit vor dem Upgrade geben.

KeyDrift nutzt diese Dateien und Orte, teils nur namentlich benannt:

  • das run-Skript unter etc/sv/sshd/, modifiziert zum Start von conf_sshd
  • /etc/sv/aaamgr/, gefälschter Dienst auf einem kompromittierten Validator
  • aaamgrd, der gepackte Loader
  • conf_sshd, das Ladeskript
  • rsshd, der Injektor
  • libdssl.so (PolyFlame)
  • libcommon.so (LittleFilch)
  • /tmp/system-vdaemon, Liste der vdaemon-Prozess-IDs
  • /var/tmp/vdaemon.bin, verschlüsselte Aufzeichnungen von LittleFilch
  • /var/tmp/vdaemon.conf, Sendeeinstellungen von LittleFilch, nach dem Auslesen gelöscht

Eine Liste von Datei-Hashes, IP-Adressen oder Domains zu KeyDrift enthält der Talos-Bericht nicht. Am 28. Oktober veröffentlichte Talos Snort-Regeln, die eingehende KeyDrift-Verbindungen zur Befehlsinfrastruktur erkennen sollen: 67387 bis 67416 für Snort 2 und 7:44 bis 7:73 für Snort 3. Die Lücke selbst decken die bereits vorhandenen Regeln 65938 und 65958 ab. Im Regelupdate vom 28. Oktober sind die Snort-2-Regeln standardmäßig deaktiviert, Nutzer des kostenpflichtigen Snort-Subscriber-Regelsatzes müssen sie also aktivieren; für die Snort-3-Regeln ist kein Standardzustand angegeben.

Um die Ausnutzung der Lücke selbst zu prüfen, empfiehlt Cisco, in /var/log/auth.log nach Einträgen „Accepted publickey for vmanage-admin" von unbekannten IP-Adressen zu suchen. Vor dem Eröffnen eines TAC-Falls sollten Kunden auf jeder Steuerungskomponente request admin-tech ausführen. Der Remediation-Leitfaden empfiehlt zudem, diese admin-tech-Dateien mit der Funktion „Check Bug Applicability" auf der Seite des Bug Search Tool für den Bug CSCws52722 erneut zu prüfen.

Für zivile US-Bundesbehörden legt CISAs Notfallanweisung vom 25. Februar fest, was bei einer festgestellten Kompromittierung des Root-Kontos zu tun ist: Meldung an CISA, Aufbau frischer Manager-, Controller- und Validator-Instanzen aus gepatchten Images und Umzug der Edge-Router auf die neuen Systeme.