Ancaman keamanan siber kembali menjadi perhatian setelah Cisco Talos mengungkap aktivitas kelompok penyerang yang mengeksploitasi celah kritis pada sistem Cisco Catalyst SD-WAN. Dalam laporan yang diterbitkan pada 28 Oktober 2026, peneliti menemukan malware khusus bernama KeyDrift yang dirancang untuk mengumpulkan informasi kunci enkripsi jaringan. Serangan tersebut memanfaatkan kerentanan CVE-2026-20127 yang memiliki tingkat keparahan maksimum 10,0. Perkembangan teknologi serangan ini menjadi peringatan bagi organisasi yang mengandalkan jaringan SD-WAN untuk menghubungkan berbagai kantor dan pusat data. Meski kemampuan pencurian kunci telah teridentifikasi, keberhasilan pengiriman seluruh data yang dikumpulkan belum dapat dipastikan.
Celah Kritis Cisco SD WAN Menjadi Target Kelompok Penyerang
Identifikasi aktivitas berbahaya pada Cisco Catalyst SD-WAN menjadi peringatan penting bagi profesional keamanan informasi. Berdasarkan analisis keamanan, Cisco Talos mengidentifikasi kelompok ancaman yang dilacak sebagai UAT-11473. Kelompok tersebut dilaporkan memanfaatkan kerentanan CVE-2026-20127 untuk memasuki sistem tanpa izin pada perangkat pengendali SD-WAN. Setelah memperoleh akses, penyerang menjalankan malware khusus bernama KeyDrift yang dikembangkan guna mengambil material kunci enkripsi. Serangan tersebut menunjukkan bahwa perangkat pengendali jaringan memiliki risiko keamanan yang serius.
Kerentanan yang dimanfaatkan sudah mendapatkan perbaikan keamanan dari Cisco pada Februari 2026. Meski perusahaan sudah merilis patch, laporan keamanan Oktober mengungkapkan bukti penyalahgunaan kerentanan pada masa lalu. Tim peneliti keamanan menyampaikan bahwa UAT-11473 mengeksploitasi kelemahan autentikasi untuk menanamkan perangkat lunak berbahaya. Hasil penelitian itu belum membuktikan bahwa setiap perangkat terdampak mengalami kompromi. Kondisi keamanan masing-masing jaringan perlu dinilai melalui konfigurasi akses, serta bukti aktivitas tidak sah. Dengan mempertimbangkan kondisi tersebut, organisasi disarankan memeriksa penerapan pembaruan sistem.
Kerentanan CVE 2026 20127 Membuka Akses Tidak Sah ke Sistem Cisco
Celah keamanan pada sistem Cisco tersebut merupakan kelemahan bypass autentikasi. Secara sederhana, kelemahan ini dapat memberikan kesempatan kepada penyerang jarak jauh tanpa autentikasi untuk memasuki komponen pengendali pada sistem yang belum memperoleh perbaikan. Penilaian keamanan mencatat skor CVSS 10,0 yang menunjukkan kategori kritis dalam pengukuran risiko keamanan. Sistem yang perlu diperhatikan mencakup Cisco Catalyst SD-WAN Controller, Manager, dan Validator sesuai cakupan produk dalam advisori. Jika akses administratif disalahgunakan, penyerang berpotensi memanipulasi konfigurasi jaringan.
Dampak dari kelemahan tersebut memerlukan perhatian khusus karena SD-WAN digunakan untuk menghubungkan berbagai kantor perusahaan. Pada lingkungan jaringan semacam ini, komponen Controller memiliki peran penting dalam distribusi informasi konektivitas. Jika sistem pusat tersebut berhasil diakses penyerang, material keamanan koneksi dapat menjadi sasaran pengambilan. Dalam kasus yang dianalisis Talos, penyerang juga menargetkan informasi lebih sensitif, melainkan menempatkan malware yang memantau komunikasi pengendali. Metode serangan semacam ini menunjukkan pentingnya perlindungan berlapis.
Malware KeyDrift Menargetkan Kunci Enkripsi Jaringan
Bagian utama dalam penelitian Cisco Talos adalah keberadaan KeyDrift, yaitu kerangka malware khusus untuk lingkungan pengendali Cisco SD-WAN. Kerangka serangan ini menggabungkan berbagai fungsi yang mendukung pengumpulan informasi sensitif. Bagian penting dari KeyDrift dikenal sebagai LittleFilch yang dirancang untuk membaca informasi control-plane yang sudah terbuka. Dengan pendekatan ini, malware mampu mengekstraksi informasi terkait kunci enkripsi. Menurut analisis peneliti, salah satu bidang data yang dikumpulkan dinilai sebagai material kunci AES-256 untuk enkripsi koneksi data.
Pada jaringan perusahaan modern, informasi pengamanan koneksi dibutuhkan untuk mendukung keamanan komunikasi jaringan. Apabila material tersebut bocor, risiko penyalahgunaan komunikasi memerlukan penanganan segera. Dalam analisis KeyDrift, LittleFilch teridentifikasi mampu menyiapkan material sensitif dalam catatan data yang telah dienkripsi. Kerangka berbahaya ini menyediakan mekanisme pemindahan informasi untuk memindahkan informasi yang diperoleh. Meski mekanisme tersebut teridentifikasi, peneliti belum dapat memastikan cakupan informasi yang telah keluar dari sistem.
Cisco Talos Mengidentifikasi Aktivitas Penyerang yang Terorganisasi
Kelompok ancaman UAT-11473 dilacak dalam kelompok advanced persistent threat atau APT, yaitu kelompok yang menjalankan operasi berkelanjutan. Dalam laporan keamanan yang diterbitkan, sektor yang menjadi perhatian penyerang mencakup organisasi yang bergerak dalam teknologi antariksa, pertahanan, teknologi kedirgantaraan, dan institusi analisis kebijakan. Bidang kegiatan tersebut dapat menyimpan komunikasi penting yang memerlukan pengamanan berlapis. Dengan kondisi tersebut, upaya mencuri material enkripsi menjadi ancaman serius bagi organisasi terdampak.
Dalam investigasi tambahan, Talos mengidentifikasi indikasi penggunaan jaringan pendukung yang sama antara UAT-11473 dan jaringan akses tersembunyi Silent Train yang berhubungan dengan Volt Typhoon. Meski peneliti melihat hubungan teknis, temuan tersebut tidak otomatis membuktikan semua operasi dilakukan organisasi identik. Tim investigasi harus memisahkan hubungan operasional dan penetapan identitas kelompok secara pasti. Pada analisis ancaman tingkat lanjut, ketelitian atribusi perlu diprioritaskan agar analisis tidak menghasilkan tuduhan tanpa dasar. Melalui pendekatan tersebut, perhatian tim keamanan sebaiknya diarahkan pada pemeriksaan indikator kompromi.
Cara Melindungi Cisco SD WAN dari Eksploitasi dan Malware
Untuk mengurangi risiko eksploitasi, prioritas utama adalah menggunakan versi perangkat lunak yang telah diperbaiki. Cisco telah menyediakan versi perangkat lunak yang menutup kerentanan. Pengelola infrastruktur perlu memeriksa versi Cisco Catalyst SD-WAN yang terpasang pada sistem produksi. Ketika sistem masih menggunakan rilis terdampak, migrasi menuju versi yang telah diperbaiki harus diprioritaskan. Sebagai pengamanan tambahan, koneksi menuju komponen kontrol harus diperketat agar tidak terbuka bagi jaringan tidak terpercaya. Kombinasi tindakan tersebut berpotensi menekan kemungkinan penyalahgunaan perangkat.
Tidak cukup hanya memasang patch, organisasi sebaiknya melaksanakan investigasi indikator kompromi. Langkah tersebut diperlukan karena kompromi dapat terjadi ketika sistem masih rentan. Dalam rekomendasi keamanannya, Talos menekankan organisasi untuk mencari indikator serangan lanjutan. Aktivitas peninjauan keamanan sebaiknya melibatkan rekaman komunikasi jaringan, serta aktivitas perangkat pengendali. Jika teridentifikasi aktivitas tidak sah, organisasi harus menjalankan mekanisme investigasi dan pemulihan. Apabila membutuhkan bantuan lanjutan, Cisco menyarankan menghubungi Technical Assistance Center atau TAC agar langkah pemulihan dapat dilakukan dengan tepat.
Perlindungan Kunci Enkripsi Menjadi Prioritas Keamanan Digital
Penemuan malware KeyDrift pada lingkungan Cisco SD-WAN menegaskan tantangan keamanan komunikasi perusahaan. Melalui eksploitasi CVE-2026-20127, kelompok UAT-11473 dilaporkan mendapatkan akses tidak sah pada komponen kontrol jaringan. Dalam aktivitas lanjutan, penyerang memasang malware khusus yang memiliki kemampuan mengambil material kunci enkripsi. Kendati kemampuan malware teridentifikasi, cakupan data yang benar-benar keluar belum dikonfirmasi secara menyeluruh. Hasil investigasi ini menjadi pengingat agar perusahaan menerapkan perlindungan berlapis.
Dalam perkembangan TEKNOLOGI, perlindungan infrastruktur komunikasi merupakan prioritas penting dalam menjaga kelangsungan bisnis. Penerapan patch keamanan sebaiknya disertai pengendalian hak akses serta respons insiden yang terencana. Melalui langkah tersebut, organisasi dapat mengurangi risiko serangan lanjutan. Bagi administrator jaringan, pemahaman terhadap pola serangan mendukung perlindungan yang lebih efektif. Apa pendapat Anda, apakah pemantauan keamanan berkelanjutan mendapatkan perhatian yang cukup dalam menjaga keamanan komunikasi bisnis? Jangan ragu menyampaikan pandangan mengenai keamanan Cisco SD-WAN.
