NoticiasNews

KeyDrift: atacantes explotaron la falla de Cisco SD-WAN para robar las claves que cifran el tráfico entre sucursalesKeyDrift: attackers exploited the Cisco SD-WAN flaw to steal the keys that encrypt traffic between branches

2026-10-30

Cisco Talos publicó el 28 de octubre de 2026 su análisis de KeyDrift, un conjunto de malware que se instaló en equipos Cisco Catalyst SD-WAN aprovechando la falla CVE-2026-20127, de severidad máxima (CVSS 10.0). Según el resumen de The Hacker News del 29 de octubre, la vulnerabilidad permite a un atacante remoto sin autenticación saltarse el inicio de sesión y obtener acceso administrativo.

Qué hace KeyDrift

Roba el material de claves AES con el que los routers cifran el tráfico entre sedes, de modo que un atacante podría descifrar comunicaciones de la red entre sucursales.
Un componente llamado LittleFilch se engancha al proceso vdaemon, lee mensajes de control ya descifrados y envía lo recolectado.
El módulo principal, PolyFlame, corre en memoria y funciona como puerta trasera o relevo.
Usa trucos para disimular sus archivos, por lo que detectarlo requiere revisar registros con cuidado.

A quién afecta y qué hacer

La falla afecta a los componentes Controller, Manager y Validator de Catalyst SD-WAN, tanto en instalaciones propias como en la nube. Cisco indica que no existe solución alternativa: hay que pasar a una versión corregida (por ejemplo 20.9.8.2, 20.12.6.1, 20.15.4.2 o 20.18.2.1, según la rama). Como medida provisional, Cisco recomienda restringir los puertos 22 y 830 a las direcciones conocidas de controladores y sistemas, aunque eso no elimina un malware que ya esté instalado. También conviene revisar el archivo auth.log en busca de accesos del usuario vmanage-admin desde IP desconocidas.

Talos atribuye la actividad al grupo UAT-11473, que se ha dirigido a sectores como espacio, defensa y aeroespacial, y señala solapamiento de infraestructura con la red "Silent Train" que Lumen vincula a Volt Typhoon, sin afirmar que sean el mismo grupo. Aunque esos objetivos no son los de una PYME, la falla afecta a cualquier organización que use esta plataforma para conectar oficinas.

Por qué importa a sucursales y atención al público

Una red SD-WAN es lo que mantiene conectadas las sucursales con los sistemas centrales: cajas, mesa de ayuda, agendas de citas y paneles de turnos. Si hay que parchear o aislar controladores, la continuidad de la atención depende de saber qué sede usa qué enlace y a quién avisar. Ahí ayudan procesos ordenados: con Servigo365 el equipo de TI puede registrar cada incidencia como ticket con historial y SLA, y con Nexturno las sucursales pueden seguir midiendo tiempos de espera y flujo de turnos para detectar cuándo una caída de red afecta a los clientes. Ninguna herramienta sustituye el parche, pero tener los datos y el seguimiento ordenados acelera la respuesta.

Fuente: The Hacker News (29 de octubre de 2026) y reporte de Cisco Talos del 28 de octubre.

Cisco Talos published its analysis of KeyDrift on October 28, 2026, a malware set installed on Cisco Catalyst SD-WAN devices by exploiting CVE-2026-20127, a maximum-severity flaw (CVSS 10.0). According to The Hacker News summary of October 29, the bug lets an unauthenticated remote attacker bypass login and gain administrative access.

What KeyDrift does

It steals the AES key material routers use to encrypt traffic between sites, which could let an attacker decrypt inter-branch network traffic.
A component called LittleFilch hooks the vdaemon process, reads already-decrypted control messages and sends out what it collects.
The main module, PolyFlame, runs in memory as a backdoor or relay.
It disguises its files, so detection requires careful log review.

Who is affected and what to do

The flaw affects the Catalyst SD-WAN Controller, Manager and Validator, both on-premises and in the cloud. Cisco says there is no workaround: you must move to a fixed release (for example 20.9.8.2, 20.12.6.1, 20.15.4.2 or 20.18.2.1, depending on the train). As an interim step, Cisco suggests restricting ports 22 and 830 to known controller and system IPs, although that does not remove malware already present. Teams should also review auth.log for vmanage-admin logins from unknown IPs.

Talos attributes the activity to UAT-11473, which has targeted space, defense and aerospace, and notes infrastructure overlap with the "Silent Train" network Lumen links to Volt Typhoon, without saying they are the same group. Even if those targets are not typical SMBs, the flaw affects any organization using this platform to connect offices.

Why it matters for branches and customer-facing service

An SD-WAN is what keeps branches connected to central systems: tellers, help desk, appointment calendars and queue displays. When controllers must be patched or isolated, service continuity depends on knowing which site uses which link and whom to notify. Orderly processes help here: with Servigo365 IT teams can log every incident as a ticket with history and SLA, and with Nexturno branches can keep measuring wait times and queue flow to see when a network outage is hurting customers. No tool replaces the patch, but organized data and follow-up speed up the response.

Source: The Hacker News (October 29, 2026) and Cisco Talos report of October 28.

← Volver al blog← Back to blog