Ancaman keamanan siber kembali menjadi perhatian setelah Cisco Talos mengungkap aktivitas kelompok penyerang yang mengeksploitasi celah kritis pada sistem Cisco Catalyst SD-WAN. Dalam laporan yang diterbitkan pada 28 Oktober 2026, peneliti menemukan malware khusus bernama KeyDrift yang dirancang untuk mengumpulkan informasi kunci enkripsi jaringan. Serangan tersebut memanfaatkan kerentanan CVE-2026-20127 yang memiliki tingkat keparahan maksimum 10,0. Perkembangan teknologi serangan ini menjadi peringatan bagi organisasi yang mengandalkan jaringan SD-WAN untuk menghubungkan berbagai kantor dan pusat data. Meski kemampuan pencurian kunci telah teridentifikasi, keberhasilan pengiriman seluruh data yang dikumpulkan belum dapat dipastikan.
Ancaman Keamanan Jaringan Cisco Terungkap melalui Penelitian Malware
Identifikasi aktivitas berbahaya pada Cisco Catalyst SD-WAN menjadi tantangan baru bagi administrator infrastruktur digital. Berdasarkan analisis keamanan, Cisco Talos mengidentifikasi kelompok ancaman yang dilacak sebagai UAT-11473. Aktor ancaman ini teridentifikasi mengeksploitasi kerentanan CVE-2026-20127 untuk memperoleh akses tidak sah pada komponen pengelolaan jaringan. Setelah memperoleh akses, penyerang memasang malware khusus bernama KeyDrift yang memiliki kemampuan mengumpulkan informasi sensitif. Serangan tersebut memperlihatkan bahwa infrastruktur komunikasi perusahaan memiliki risiko keamanan yang serius.
Celah keamanan tersebut telah memiliki perbaikan keamanan dari Cisco pada Februari 2026. Meski perusahaan sudah merilis patch, laporan keamanan Oktober memperlihatkan adanya serangan yang berlangsung sebelumnya. Tim peneliti keamanan menyampaikan bahwa UAT-11473 memanfaatkan kelemahan autentikasi untuk menanamkan perangkat lunak berbahaya. Temuan keamanan ini tidak berarti bahwa setiap perangkat terdampak mengalami kompromi. Risiko aktual bergantung pada riwayat pembaruan, serta hasil pemeriksaan keamanan. Sebagai tindakan pencegahan, organisasi disarankan memeriksa status keamanan perangkat.
Memahami Risiko Keamanan pada Cisco Catalyst SD WAN Controller
Kerentanan yang menjadi pusat serangan dikategorikan sebagai masalah keamanan pada pemeriksaan identitas. Jika dijelaskan secara praktis, kelemahan ini membuka kemungkinan bagi penyerang jarak jauh tanpa autentikasi untuk memasuki komponen pengendali pada sistem yang menggunakan versi terdampak. Cisco memberikan skor CVSS 10,0 yang menunjukkan kategori kritis dalam klasifikasi kelemahan perangkat lunak. Komponen yang terdampak mencakup Cisco Catalyst SD-WAN Controller, Manager, dan Validator sesuai informasi keamanan Cisco. Ketika pengendali jaringan berhasil dikuasai, penyerang dapat mengubah konfigurasi jaringan.
Risiko eksploitasi kerentanan ini memerlukan perhatian khusus karena SD-WAN berfungsi mengintegrasikan cabang dan pusat data. Melalui sistem konektivitas tersebut, komponen Controller menjalankan fungsi utama dalam pengelolaan hubungan antarsitus. Jika sistem pusat tersebut berhasil diakses penyerang, material keamanan koneksi dapat menjadi sasaran pengambilan. Dalam kasus yang dianalisis Talos, penyerang tidak hanya berusaha memperoleh akses, melainkan menggunakan malware yang berinteraksi dengan proses internal. Kemampuan ini menambah kompleksitas ancaman.
Teknologi Malware Khusus Mengancam Perlindungan Komunikasi SD WAN
Salah satu temuan paling penting Cisco Talos adalah keberadaan KeyDrift, yaitu kerangka malware khusus untuk perangkat yang mengelola komunikasi SD-WAN. Malware tersebut memiliki beberapa komponen yang dirancang membantu pengumpulan informasi sensitif. Modul yang menjadi perhatian dikenal sebagai LittleFilch yang memiliki kemampuan memeriksa data komunikasi setelah didekripsi. Melalui kemampuan tersebut, malware dapat mengidentifikasi informasi terkait kunci enkripsi. Berdasarkan pemeriksaan teknis, salah satu bidang data yang dikumpulkan berkaitan dengan material kunci AES-256 untuk komunikasi antarsitus.
Pada jaringan perusahaan modern, kunci kriptografi dibutuhkan untuk mendukung kerahasiaan lalu lintas. Ketika informasi kriptografi jatuh ke tangan penyerang, ancaman terhadap kerahasiaan data dapat meningkat. Pada penelitian malware tersebut, LittleFilch teridentifikasi mampu mengumpulkan data terkait kunci dalam penyimpanan lokal yang dilindungi. Malware tersebut juga memiliki fungsi komunikasi keluar untuk memindahkan informasi yang diperoleh. Walaupun fungsi pengiriman tersedia, peneliti tidak berhasil membuktikan sepenuhnya keberhasilan pengiriman kunci ke penyerang.
Cisco Talos Mengidentifikasi Aktivitas Penyerang yang Terorganisasi
Kelompok ancaman UAT-11473 dilacak dalam kelompok advanced persistent threat atau APT, yaitu aktivitas penyerang dengan kemampuan tinggi. Berdasarkan penelitian Cisco Talos, target serangan yang teridentifikasi mencakup organisasi yang bergerak dalam teknologi antariksa, pertahanan, teknologi kedirgantaraan, dan lembaga penelitian kebijakan. Bidang kegiatan tersebut sering mengelola data operasional sensitif yang memerlukan pengamanan berlapis. Berdasarkan karakteristik target, pengumpulan informasi jaringan menjadi ancaman serius bagi pengelola infrastruktur.
Dalam investigasi tambahan, Talos mengidentifikasi kemiripan infrastruktur operasional antara UAT-11473 dan jaringan akses tersembunyi Silent Train yang memiliki keterkaitan pada analisis Volt Typhoon. Namun demikian, temuan tersebut tidak otomatis membuktikan kedua kelompok merupakan aktor yang sama. Peneliti keamanan tetap mempertimbangkan perbedaan antara indikator teknis yang beririsan dan identifikasi pelaku secara definitif. Pada analisis ancaman tingkat lanjut, akurasi identifikasi aktor memiliki nilai besar agar informasi tetap dapat dipertanggungjawabkan. Dengan demikian, prioritas pengelola sistem dapat difokuskan kepada pemeriksaan indikator kompromi.
Cara Melindungi Cisco SD WAN dari Eksploitasi dan Malware
Untuk mengurangi risiko eksploitasi, tindakan mendasar adalah memasang patch yang sesuai. Pihak pengembang sistem telah menghadirkan pembaruan untuk CVE-2026-20127. Pengelola infrastruktur perlu memeriksa versi Cisco Catalyst SD-WAN yang terpasang pada sistem produksi. Jika perangkat belum memperoleh patch, migrasi menuju versi yang telah diperbaiki harus diprioritaskan. Tidak kalah penting, jalur pengelolaan perangkat harus diperketat agar terhindar dari paparan langsung yang tidak diperlukan. Kombinasi tindakan tersebut dapat membatasi risiko akses tidak sah.
Selain melakukan pembaruan, organisasi disarankan melakukan investigasi indikator kompromi. Pemeriksaan tambahan menjadi relevan karena pemasangan patch tidak otomatis menghapus malware yang sebelumnya terpasang. Peneliti Cisco mengimbau organisasi untuk mengevaluasi kemungkinan keberadaan malware. Proses investigasi ini dapat mencakup log sistem, serta aktivitas perangkat pengendali. Ketika bukti serangan muncul, organisasi perlu mengaktifkan prosedur respons insiden. Apabila membutuhkan bantuan lanjutan, Cisco menyarankan menghubungi Technical Assistance Center atau TAC agar penanganan teknis mengikuti panduan resmi.
Ancaman KeyDrift Menjadi Peringatan bagi Infrastruktur Perusahaan
Identifikasi malware KeyDrift pada lingkungan Cisco SD-WAN menunjukkan pentingnya perlindungan infrastruktur jaringan. Berkat penyalahgunaan CVE-2026-20127, kelompok UAT-11473 teridentifikasi memiliki akses tidak sah pada perangkat Cisco Catalyst SD-WAN. Dalam aktivitas lanjutan, penyerang menggunakan malware khusus yang ditujukan untuk memperoleh informasi kriptografi sensitif. Meski fungsi pengumpulan telah ditemukan, cakupan data yang benar-benar keluar belum dapat dipastikan sepenuhnya. Temuan tersebut menunjukkan kebutuhan agar perusahaan menerapkan perlindungan berlapis.
Seiring meningkatnya kompleksitas ancaman digital, pengamanan jaringan SD-WAN tetap menjadi bagian mendasar dalam menjaga kelangsungan bisnis. Pemeliharaan sistem secara teratur harus didukung oleh pemeriksaan konfigurasi serta evaluasi keamanan berkelanjutan. Melalui langkah tersebut, organisasi dapat mengurangi kemungkinan penyalahgunaan akses. Dalam lingkungan pengelola infrastruktur, pengetahuan mengenai indikator kompromi menjadi bekal utama. Bagaimana menurut Anda, apakah perlindungan komponen pengendali jaringan telah diterapkan secara memadai dalam menghadapi ancaman siber modern? Silakan bagikan pendapat Anda mengenai perlindungan jaringan perusahaan.
