Celah Keamanan Cisco SD WAN Dimanfaatkan Penyerang untuk Mencuri Kunci Enkripsi
Ancaman keamanan siber kembali menjadi perhatian setelah Cisco Talos mengungkap aktivitas kelompok penyerang yang mengeksploitasi celah kritis pada sistem Cisco Catalyst SD-WAN. Dalam laporan yang diterbitkan pada 28 Oktober 2026, peneliti menemukan malware khusus bernama KeyDrift yang dirancang untuk mengumpulkan informasi kunci enkripsi jaringan. Serangan tersebut memanfaatkan kerentanan CVE-2026-20127 yang memiliki tingkat keparahan maksimum 10,0. Perkembangan teknologi serangan ini menjadi peringatan bagi organisasi yang mengandalkan jaringan SD-WAN untuk menghubungkan berbagai kantor dan pusat data. Meski kemampuan pencurian kunci telah teridentifikasi, keberhasilan pengiriman seluruh data yang dikumpulkan belum dapat dipastikan.
Ancaman Keamanan Jaringan Cisco Terungkap melalui Penelitian Malware
Identifikasi aktivitas berbahaya pada Cisco Catalyst SD-WAN menjadi peringatan penting bagi profesional keamanan informasi. Berdasarkan analisis keamanan, Cisco Talos mengidentifikasi kelompok ancaman yang diberi identitas UAT-11473. Pelaku yang diamati teridentifikasi mengeksploitasi kerentanan CVE-2026-20127 untuk memperoleh akses tidak sah pada infrastruktur Cisco Catalyst SD-WAN. Ketika perangkat berhasil dikompromikan, penyerang menempatkan malware khusus bernama KeyDrift yang memiliki kemampuan mengumpulkan informasi sensitif. Operasi berbahaya tersebut menunjukkan bahwa infrastruktur komunikasi perusahaan dapat menjadi sasaran bernilai tinggi.
Masalah autentikasi yang dieksploitasi sebenarnya telah memperoleh perbaikan keamanan dari Cisco pada Februari 2026. Namun demikian, temuan terbaru menunjukkan bukti penyalahgunaan kerentanan pada masa lalu. Dalam hasil analisisnya, Talos mengungkapkan bahwa UAT-11473 menggunakan kelemahan autentikasi untuk mempertahankan akses ke sistem. Laporan tersebut tidak berarti bahwa seluruh instalasi Cisco SD-WAN telah diretas. Kondisi keamanan masing-masing jaringan ditentukan oleh konfigurasi akses, serta bukti aktivitas tidak sah. Dengan mempertimbangkan kondisi tersebut, organisasi perlu segera meninjau kondisi pengendali jaringan.
Kerentanan CVE 2026 20127 Membuka Akses Tidak Sah ke Sistem Cisco
Kerentanan yang menjadi pusat serangan merupakan masalah keamanan pada pemeriksaan identitas. Jika dijelaskan secara praktis, kelemahan ini berpotensi memungkinkan penyerang jarak jauh tanpa autentikasi untuk mendapatkan kewenangan administratif pada sistem yang belum memperoleh perbaikan. Penilaian keamanan mencatat skor CVSS 10,0 yang merupakan tingkat tertinggi dalam klasifikasi kelemahan perangkat lunak. Sistem yang perlu diperhatikan mencakup Cisco Catalyst SD-WAN Controller, Manager, dan Validator sesuai pengumuman kerentanan resmi. Apabila sistem kontrol mengalami kompromi, penyerang berpotensi memanipulasi hubungan antarkomponen.
Konsekuensi penyalahgunaan akses menjadi serius karena SD-WAN digunakan untuk menghubungkan cabang dan pusat data. Melalui sistem konektivitas tersebut, komponen Controller berfungsi sebagai bagian pengendali dalam pengelolaan hubungan antarsitus. Ketika pengendali mengalami kompromi, informasi jaringan sensitif berpotensi terekspos. Pada investigasi KeyDrift, penyerang tidak hanya berusaha memperoleh akses, melainkan mengembangkan malware yang mengakses data setelah proses dekripsi. Pendekatan tersebut memperbesar kebutuhan pemeriksaan keamanan.
Malware KeyDrift Menargetkan Kunci Enkripsi Jaringan
Aspek yang menjadi perhatian khusus Cisco Talos adalah keberadaan KeyDrift, yaitu kerangka malware khusus untuk lingkungan pengendali Cisco SD-WAN. Perangkat lunak berbahaya tersebut menggabungkan berbagai fungsi yang dirancang membantu pemantauan komunikasi internal. Bagian penting dari KeyDrift dikenal sebagai LittleFilch yang dirancang untuk membaca pesan internal yang telah melewati proses dekripsi. Berkat akses terhadap data internal, malware dapat mengidentifikasi informasi terkait kunci enkripsi. Cisco Talos menilai, salah satu bidang data yang dikumpulkan diduga merupakan material kunci AES-256 untuk perlindungan lalu lintas jaringan.
Dalam sistem komunikasi yang aman, informasi pengamanan koneksi memiliki fungsi penting kerahasiaan lalu lintas. Apabila material tersebut bocor, risiko penyalahgunaan komunikasi memerlukan penanganan segera. Dalam analisis KeyDrift, LittleFilch ditemukan memiliki fungsi untuk menyiapkan material sensitif dalam penyimpanan lokal yang dilindungi. Malware tersebut juga memiliki mekanisme pemindahan informasi untuk memindahkan informasi yang diperoleh. Namun demikian, peneliti belum dapat memastikan apakah seluruh data benar-benar dikirim.
Kelompok UAT 11473 Menargetkan Infrastruktur Bernilai Tinggi
Pelaku di balik aktivitas KeyDrift dilacak dalam kelompok advanced persistent threat atau APT, yaitu ancaman siber terorganisasi. Menurut hasil investigasi perusahaan, target serangan yang teridentifikasi mencakup organisasi yang bergerak dalam teknologi antariksa, pertahanan, teknologi kedirgantaraan, dan organisasi riset strategis. Lingkungan organisasi semacam ini sering mengelola data operasional sensitif yang memerlukan pengamanan berlapis. Dengan kondisi tersebut, upaya mencuri material enkripsi menimbulkan risiko yang perlu ditangani bagi tim keamanan perusahaan.
Cisco Talos juga menemukan kemiripan infrastruktur operasional antara UAT-11473 dan jaringan akses tersembunyi Silent Train yang dikaitkan dengan Volt Typhoon. Meski peneliti melihat hubungan teknis, indikasi tersebut tidak dapat langsung diartikan sebagai semua operasi dilakukan organisasi identik. Analis ancaman harus memisahkan kesamaan infrastruktur dan penetapan identitas kelompok secara pasti. Pada analisis ancaman tingkat lanjut, kehati-hatian dalam menentukan pelaku menjadi penting agar analisis tidak menghasilkan tuduhan tanpa dasar. Dengan demikian, fokus utama organisasi dapat difokuskan kepada penutupan kerentanan.
Cara Melindungi Cisco SD WAN dari Eksploitasi dan Malware
Sebagai respons terhadap temuan KeyDrift, tindakan mendasar adalah memastikan pembaruan keamanan diterapkan. Cisco telah menyediakan versi perangkat lunak yang menutup kerentanan. Tim keamanan perusahaan perlu memeriksa status pembaruan perangkat yang terpasang pada sistem produksi. Apabila ditemukan versi rentan, pemasangan pembaruan resmi harus diprioritaskan. Selain itu, jalur pengelolaan perangkat perlu dikendalikan agar terhindar dari paparan langsung yang tidak diperlukan. Langkah tersebut membantu mengurangi peluang eksploitasi.
Di samping menutup kerentanan, organisasi disarankan melakukan pemeriksaan aktivitas mencurigakan. Pemeriksaan tambahan menjadi relevan karena kompromi dapat terjadi ketika sistem masih rentan. Peneliti Cisco mengimbau organisasi untuk memantau tanda aktivitas pascakompromi. Proses investigasi ini dapat mencakup log sistem, serta aktivitas perangkat pengendali. Ketika bukti serangan muncul, organisasi perlu mengaktifkan rencana penanganan keamanan. Dalam penanganan kasus yang kompleks, Cisco menyediakan bantuan melalui Technical Assistance Center atau TAC agar proses pemeriksaan mengikuti panduan resmi.
Kesimpulan: Serangan Cisco SD WAN Menunjukkan Pentingnya Keamanan Jaringan
Identifikasi malware KeyDrift pada lingkungan Cisco SD-WAN menunjukkan pentingnya perlindungan infrastruktur jaringan. Berkat penyalahgunaan CVE-2026-20127, kelompok UAT-11473 dilaporkan mendapatkan akses tidak sah pada komponen kontrol jaringan. Pada tahap serangan berikutnya, penyerang menggunakan malware khusus yang ditujukan untuk memperoleh material kunci enkripsi. Walaupun demikian, cakupan data yang benar-benar keluar belum dikonfirmasi secara menyeluruh. Hasil investigasi ini memberikan pelajaran penting agar administrator memperkuat keamanan komponen kontrol.
Dalam perkembangan TEKNOLOGI, pengelolaan keamanan sistem terdistribusi menjadi bagian mendasar dalam mempertahankan integritas sistem. Pembaruan perangkat lunak harus didukung oleh pemantauan aktivitas serta evaluasi keamanan berkelanjutan. Dengan menerapkan pendekatan berlapis, organisasi mampu membatasi kemungkinan penyalahgunaan akses. Untuk profesional keamanan siber, pengetahuan mengenai indikator kompromi menjadi bekal utama. Bagaimana menurut Anda, apakah pembaruan sistem secara rutin mendapatkan perhatian yang cukup dalam menghadapi ancaman siber modern? Silakan bagikan pendapat Anda mengenai pentingnya pengelolaan risiko siber.
