Celah Keamanan Cisco SD WAN Dimanfaatkan Penyerang untuk Mencuri Kunci Enkripsi
Ancaman keamanan siber kembali menjadi perhatian setelah Cisco Talos mengungkap aktivitas kelompok penyerang yang mengeksploitasi celah kritis pada sistem Cisco Catalyst SD-WAN. Dalam laporan yang diterbitkan pada 28 Oktober 2026, peneliti menemukan malware khusus bernama KeyDrift yang dirancang untuk mengumpulkan informasi kunci enkripsi jaringan. Serangan tersebut memanfaatkan kerentanan CVE-2026-20127 yang memiliki tingkat keparahan maksimum 10,0. Perkembangan teknologi serangan ini menjadi peringatan bagi organisasi yang mengandalkan jaringan SD-WAN untuk menghubungkan berbagai kantor dan pusat data. Meski kemampuan pencurian kunci telah teridentifikasi, keberhasilan pengiriman seluruh data yang dikumpulkan belum dapat dipastikan.
Cisco Talos Mengungkap Serangan terhadap Infrastruktur SD WAN
Identifikasi aktivitas berbahaya pada Cisco Catalyst SD-WAN menghadirkan perhatian serius bagi pengelola jaringan perusahaan. Berdasarkan analisis keamanan, Cisco Talos mengungkap kelompok ancaman yang dilacak sebagai UAT-11473. Aktor ancaman ini dilaporkan memanfaatkan kerentanan CVE-2026-20127 untuk memperoleh akses tidak sah pada infrastruktur Cisco Catalyst SD-WAN. Sesudah berhasil memasuki sistem, penyerang menempatkan malware khusus bernama KeyDrift yang memiliki kemampuan memantau data komunikasi internal. Aktivitas ini menunjukkan bahwa perangkat pengendali jaringan dapat menjadi sasaran bernilai tinggi.
Celah keamanan tersebut sebenarnya telah memperoleh perbaikan keamanan dari Cisco pada Februari 2026. Walaupun pembaruan telah tersedia, temuan terbaru memperlihatkan bukti penyalahgunaan kerentanan pada masa lalu. Dalam hasil analisisnya, Talos mengungkapkan bahwa UAT-11473 memanfaatkan kelemahan autentikasi untuk mempertahankan akses ke sistem. Temuan keamanan ini tidak berarti bahwa seluruh instalasi Cisco SD-WAN telah diretas. Kondisi keamanan masing-masing jaringan bergantung pada konfigurasi akses, serta indikator kompromi yang ditemukan. Dengan mempertimbangkan kondisi tersebut, organisasi sebaiknya mengevaluasi status keamanan perangkat.
Celah Autentikasi Cisco SD WAN Memiliki Tingkat Keparahan Maksimum
Kerentanan yang menjadi pusat serangan tergolong sebagai kerentanan yang memungkinkan pelewatan verifikasi akses. Dalam pengertian umum, kelemahan ini berpotensi memungkinkan penyerang jarak jauh tanpa autentikasi untuk mendapatkan kewenangan administratif pada sistem yang masih rentan. Penilaian keamanan mencatat skor CVSS 10,0 yang merupakan tingkat tertinggi dalam sistem penilaian kerentanan. Perangkat yang termasuk dalam cakupan mencakup Cisco Catalyst SD-WAN Controller, Manager, dan Validator sesuai informasi keamanan Cisco. Jika akses administratif disalahgunakan, penyerang dapat mengubah hubungan antarkomponen.
Konsekuensi penyalahgunaan akses memiliki tingkat bahaya tinggi karena SD-WAN berfungsi mengintegrasikan lokasi operasional organisasi. Pada lingkungan jaringan semacam ini, komponen Controller memiliki peran penting dalam distribusi informasi konektivitas. Ketika pengendali mengalami kompromi, material keamanan koneksi dapat menjadi sasaran pengambilan. Pada investigasi KeyDrift, penyerang melampaui aktivitas masuk tanpa izin, melainkan mengembangkan malware yang berinteraksi dengan proses internal. Kemampuan ini menunjukkan pentingnya perlindungan berlapis.
Malware KeyDrift Menargetkan Kunci Enkripsi Jaringan
Salah satu temuan paling penting Cisco Talos adalah keberadaan KeyDrift, yaitu rangkaian perangkat lunak berbahaya untuk lingkungan pengendali Cisco SD-WAN. Kerangka serangan ini memiliki beberapa komponen yang mendukung pemantauan komunikasi internal. Bagian penting dari KeyDrift dikenal sebagai LittleFilch yang memiliki kemampuan memeriksa informasi control-plane yang sudah terbuka. Dengan pendekatan ini, malware dapat mengidentifikasi informasi terkait kunci enkripsi. Berdasarkan pemeriksaan teknis, salah satu bidang data yang dikumpulkan diduga merupakan material kunci AES-256 untuk enkripsi koneksi data.
Dalam sistem komunikasi yang aman, informasi pengamanan koneksi dibutuhkan untuk mendukung keamanan komunikasi jaringan. Ketika informasi kriptografi jatuh ke tangan penyerang, ancaman terhadap kerahasiaan data menjadi lebih serius. Berdasarkan temuan Cisco Talos, LittleFilch ditemukan memiliki fungsi untuk menyiapkan material sensitif dalam catatan data yang telah dienkripsi. Kerangka berbahaya ini menyediakan mekanisme pemindahan informasi untuk meneruskan hasil pengumpulan. Meski mekanisme tersebut teridentifikasi, peneliti tidak berhasil membuktikan sepenuhnya cakupan informasi yang telah keluar dari sistem.
Kelompok UAT 11473 Menargetkan Infrastruktur Bernilai Tinggi
Pelaku di balik aktivitas KeyDrift dilacak dalam kelompok advanced persistent threat atau APT, yaitu kelompok yang menjalankan operasi berkelanjutan. Menurut hasil investigasi perusahaan, target serangan yang teridentifikasi mencakup industri ruang angkasa serta komunikasi satelit, pertahanan, teknologi kedirgantaraan, dan institusi analisis kebijakan. Bidang kegiatan tersebut dapat menyimpan data operasional sensitif yang harus dijaga kerahasiaannya. Oleh sebab itu, pengumpulan informasi jaringan menimbulkan risiko yang perlu ditangani bagi organisasi terdampak.
Cisco Talos juga menemukan indikasi penggunaan jaringan pendukung yang sama antara UAT-11473 dan jaringan akses tersembunyi Silent Train yang dikaitkan dengan Volt Typhoon. Namun demikian, temuan tersebut tidak otomatis membuktikan kedua kelompok merupakan aktor yang sama. Peneliti keamanan tetap mempertimbangkan perbedaan antara indikator teknis yang beririsan dan penetapan identitas kelompok secara pasti. Dalam penelitian aktivitas APT, akurasi identifikasi aktor memiliki nilai besar agar kesimpulan tidak melampaui bukti. Berdasarkan prinsip investigasi, perhatian tim keamanan dapat difokuskan kepada penutupan kerentanan.
Cara Melindungi Cisco SD WAN dari Eksploitasi dan Malware
Sebagai respons terhadap temuan KeyDrift, langkah paling penting adalah memastikan pembaruan keamanan diterapkan. Produsen perangkat jaringan tersebut merilis pembaruan untuk CVE-2026-20127. Administrator jaringan sebaiknya mengevaluasi versi Cisco Catalyst SD-WAN yang sedang digunakan. Apabila ditemukan versi rentan, pemasangan pembaruan resmi perlu segera dijadwalkan. Tidak kalah penting, akses administrasi sebaiknya dibatasi agar tidak terbuka bagi jaringan tidak terpercaya. Pendekatan perlindungan ini dapat membatasi risiko akses tidak sah.
Tidak cukup hanya memasang patch, organisasi sebaiknya melaksanakan pemeriksaan aktivitas mencurigakan. Langkah tersebut diperlukan karena kompromi dapat terjadi ketika sistem masih rentan. Dalam rekomendasi keamanannya, Talos menekankan organisasi untuk mengevaluasi kemungkinan keberadaan malware. Proses investigasi ini sebaiknya melibatkan perubahan konfigurasi yang tidak dikenal, serta aktivitas perangkat pengendali. Ketika bukti serangan muncul, organisasi harus menjalankan prosedur respons insiden. Apabila membutuhkan bantuan lanjutan, Cisco menyediakan bantuan melalui Technical Assistance Center atau TAC agar penanganan teknis sesuai karakteristik sistem.
Kesimpulan: Serangan Cisco SD WAN Menunjukkan Pentingnya Keamanan Jaringan
Penemuan malware KeyDrift pada lingkungan Cisco SD-WAN memperlihatkan pentingnya perlindungan infrastruktur jaringan. Berkat penyalahgunaan CVE-2026-20127, kelompok UAT-11473 berhasil memperoleh akses tidak sah pada sistem pengendali komunikasi. Pada tahap serangan berikutnya, penyerang menjalankan malware khusus yang dirancang mengumpulkan informasi kriptografi sensitif. Walaupun demikian, hasil akhir pengiriman informasi belum dapat dipastikan sepenuhnya. Laporan keamanan tersebut menunjukkan kebutuhan agar perusahaan menerapkan perlindungan berlapis.
Seiring meningkatnya kompleksitas ancaman digital, perlindungan infrastruktur komunikasi menjadi kebutuhan utama dalam melindungi informasi perusahaan. Pembaruan perangkat lunak perlu dikombinasikan dengan pemeriksaan konfigurasi serta prosedur pemulihan yang jelas. Berkat pengelolaan yang tepat, organisasi mampu membatasi kemungkinan penyalahgunaan akses. Bagi administrator jaringan, pengetahuan mengenai indikator kompromi menjadi bekal utama. Apa pendapat Anda, apakah pemantauan keamanan berkelanjutan sudah menjadi prioritas perusahaan dalam melindungi infrastruktur digital? Jangan ragu menyampaikan pandangan mengenai keamanan Cisco SD-WAN.
