Ancaman keamanan siber kembali menjadi perhatian setelah Cisco Talos mengungkap aktivitas kelompok penyerang yang mengeksploitasi celah kritis pada sistem Cisco Catalyst SD-WAN. Dalam laporan yang diterbitkan pada 28 Oktober 2026, peneliti menemukan malware khusus bernama KeyDrift yang dirancang untuk mengumpulkan informasi kunci enkripsi jaringan. Serangan tersebut memanfaatkan kerentanan CVE-2026-20127 yang memiliki tingkat keparahan maksimum 10,0. Perkembangan teknologi serangan ini menjadi peringatan bagi organisasi yang mengandalkan jaringan SD-WAN untuk menghubungkan berbagai kantor dan pusat data. Meski kemampuan pencurian kunci telah teridentifikasi, keberhasilan pengiriman seluruh data yang dikumpulkan belum dapat dipastikan.
Celah Kritis Cisco SD WAN Menjadi Target Kelompok Penyerang
Identifikasi aktivitas berbahaya pada Cisco Catalyst SD-WAN menghadirkan perhatian serius bagi profesional keamanan informasi. Melalui penelitian terbaru, Cisco Talos mengidentifikasi kelompok ancaman yang diberi identitas UAT-11473. Pelaku yang diamati teridentifikasi mengeksploitasi kerentanan CVE-2026-20127 untuk memasuki sistem tanpa izin pada komponen pengelolaan jaringan. Setelah memperoleh akses, penyerang menjalankan malware khusus bernama KeyDrift yang memiliki kemampuan mengumpulkan informasi sensitif. Aktivitas ini menunjukkan bahwa perangkat pengendali jaringan memiliki risiko keamanan yang serius.
Masalah autentikasi yang dieksploitasi telah memiliki perbaikan keamanan dari Cisco pada Februari 2026. Namun demikian, laporan keamanan Oktober mengungkapkan aktivitas eksploitasi historis. Cisco Talos menjelaskan bahwa UAT-11473 mengeksploitasi kelemahan autentikasi untuk mempertahankan akses ke sistem. Temuan keamanan ini tidak menunjukkan secara otomatis bahwa setiap perangkat terdampak mengalami kompromi. Tingkat paparan organisasi ditentukan oleh riwayat pembaruan, serta bukti aktivitas tidak sah. Sebagai tindakan pencegahan, organisasi perlu segera meninjau status keamanan perangkat.
Memahami Risiko Keamanan pada Cisco Catalyst SD WAN Controller
Kerentanan yang menjadi pusat serangan merupakan kerentanan yang memungkinkan pelewatan verifikasi akses. Jika dijelaskan secara praktis, kelemahan ini membuka kemungkinan bagi penyerang jarak jauh tanpa autentikasi untuk mendapatkan kewenangan administratif pada sistem yang menggunakan versi terdampak. Cisco memberikan skor CVSS 10,0 yang menunjukkan kategori kritis dalam klasifikasi kelemahan perangkat lunak. Perangkat yang termasuk dalam cakupan mencakup Cisco Catalyst SD-WAN Controller, Manager, dan Validator sesuai cakupan produk dalam advisori. Apabila sistem kontrol mengalami kompromi, penyerang berpotensi memanipulasi konfigurasi jaringan.
Konsekuensi penyalahgunaan akses menjadi serius karena SD-WAN berfungsi mengintegrasikan berbagai kantor perusahaan. Pada lingkungan jaringan semacam ini, komponen Controller berfungsi sebagai bagian pengendali dalam pengaturan komunikasi. Ketika pengendali mengalami kompromi, informasi jaringan sensitif berpotensi terekspos. Pada investigasi KeyDrift, penyerang tidak hanya berusaha memperoleh akses, melainkan menempatkan malware yang mengakses data setelah proses dekripsi. Pendekatan tersebut menunjukkan pentingnya perlindungan berlapis.
Malware KeyDrift Menargetkan Kunci Enkripsi Jaringan
Aspek yang menjadi perhatian khusus Cisco Talos adalah keberadaan KeyDrift, yaitu sistem malware yang dikembangkan secara spesifik untuk perangkat yang mengelola komunikasi SD-WAN. Perangkat lunak berbahaya tersebut terdiri atas sejumlah modul yang mendukung pemantauan komunikasi internal. Modul yang menjadi perhatian dikenal sebagai LittleFilch yang dirancang untuk membaca pesan internal yang telah melewati proses dekripsi. Melalui kemampuan tersebut, malware dapat mengidentifikasi material keamanan komunikasi. Menurut analisis peneliti, salah satu bidang data yang dikumpulkan berkaitan dengan material kunci AES-256 untuk enkripsi koneksi data.
Pada jaringan perusahaan modern, informasi pengamanan koneksi berperan sebagai komponen utama keamanan komunikasi jaringan. Jika kunci enkripsi berhasil diperoleh pihak tidak sah, ancaman terhadap kerahasiaan data menjadi lebih serius. Dalam analisis KeyDrift, LittleFilch ditemukan memiliki fungsi untuk menyimpan hasil pengambilan informasi dalam catatan data yang telah dienkripsi. Malware tersebut juga memiliki kemampuan pengiriman data untuk memindahkan informasi yang diperoleh. Namun demikian, peneliti masih belum mengonfirmasi keberhasilan pengiriman kunci ke penyerang.
Serangan Cisco SD WAN Berkaitan dengan Ancaman Siber Tingkat Lanjut
Kelompok ancaman UAT-11473 dipantau sebagai advanced persistent threat atau APT, yaitu ancaman siber terorganisasi. Berdasarkan penelitian Cisco Talos, sektor yang menjadi perhatian penyerang mencakup organisasi yang bergerak dalam teknologi antariksa, pertahanan, teknologi kedirgantaraan, dan lembaga penelitian kebijakan. Bidang kegiatan tersebut berpotensi memiliki komunikasi penting yang memerlukan pengamanan berlapis. Oleh sebab itu, pengumpulan informasi jaringan memiliki konsekuensi keamanan penting bagi tim keamanan perusahaan.
Peneliti keamanan turut melaporkan indikasi penggunaan jaringan pendukung yang sama antara UAT-11473 dan jaringan akses tersembunyi Silent Train yang dikaitkan dengan Volt Typhoon. Meski peneliti melihat hubungan teknis, indikasi tersebut tidak dapat langsung diartikan sebagai semua operasi dilakukan organisasi identik. Peneliti keamanan tetap mempertimbangkan perbedaan antara hubungan operasional dan identifikasi pelaku secara definitif. Pada analisis ancaman tingkat lanjut, kehati-hatian dalam menentukan pelaku perlu diprioritaskan agar kesimpulan tidak melampaui bukti. Dengan demikian, prioritas pengelola sistem sebaiknya diarahkan pada penguatan perlindungan jaringan.
Langkah Mitigasi Kerentanan Cisco Catalyst SD WAN
Untuk mengurangi risiko eksploitasi, tindakan mendasar adalah menggunakan versi perangkat lunak yang telah diperbaiki. Produsen perangkat jaringan tersebut merilis perbaikan keamanan bagi produk terdampak. Pengelola infrastruktur disarankan meninjau status pembaruan perangkat yang sedang digunakan. Ketika sistem masih menggunakan rilis terdampak, migrasi menuju versi yang telah diperbaiki harus diprioritaskan. Selain itu, koneksi menuju komponen kontrol perlu dikendalikan agar hanya dapat digunakan oleh sistem yang berwenang. Langkah tersebut berpotensi menekan risiko akses tidak sah.
Di samping menutup kerentanan, organisasi juga perlu menjalankan pemantauan keamanan lanjutan. Langkah tersebut diperlukan karena kompromi dapat terjadi ketika sistem masih rentan. Peneliti Cisco mengimbau organisasi untuk mengevaluasi kemungkinan keberadaan malware. Aktivitas peninjauan keamanan dapat mencakup rekaman komunikasi jaringan, serta proses layanan yang tidak biasa. Ketika bukti serangan muncul, organisasi perlu mengaktifkan mekanisme investigasi dan pemulihan. Apabila membutuhkan bantuan lanjutan, Cisco merekomendasikan koordinasi dengan Technical Assistance Center atau TAC agar penanganan teknis dapat dilakukan dengan tepat.
Kesimpulan: Serangan Cisco SD WAN Menunjukkan Pentingnya Keamanan Jaringan
Penemuan malware KeyDrift pada lingkungan Cisco SD-WAN menunjukkan tantangan keamanan komunikasi perusahaan. Melalui eksploitasi CVE-2026-20127, kelompok UAT-11473 dilaporkan mendapatkan akses tidak sah pada sistem pengendali komunikasi. Dalam aktivitas lanjutan, penyerang memasang malware khusus yang memiliki kemampuan mengambil informasi kriptografi sensitif. Walaupun demikian, cakupan data yang benar-benar keluar masih memiliki keterbatasan bukti. Hasil investigasi ini memberikan pelajaran penting agar organisasi tidak hanya mengandalkan enkripsi.
Dalam perkembangan TEKNOLOGI, perlindungan infrastruktur komunikasi menjadi bagian mendasar dalam mempertahankan integritas sistem. Pemeliharaan sistem secara teratur perlu dikombinasikan dengan pengendalian hak akses serta evaluasi keamanan berkelanjutan. Melalui langkah tersebut, organisasi mampu membatasi dampak gangguan keamanan. Untuk profesional keamanan siber, pengetahuan mengenai indikator kompromi mendukung perlindungan yang lebih efektif. Bagaimana menurut Anda, apakah pemantauan keamanan berkelanjutan telah diterapkan secara memadai dalam menghadapi ancaman siber modern? Anda dapat berbagi pengalaman mengenai perlindungan jaringan perusahaan.
