Ancaman keamanan siber kembali menjadi perhatian setelah Cisco Talos mengungkap aktivitas kelompok penyerang yang mengeksploitasi celah kritis pada sistem Cisco Catalyst SD-WAN. Dalam laporan yang diterbitkan pada 28 Oktober 2026, peneliti menemukan malware khusus bernama KeyDrift yang dirancang untuk mengumpulkan informasi kunci enkripsi jaringan. Serangan tersebut memanfaatkan kerentanan CVE-2026-20127 yang memiliki tingkat keparahan maksimum 10,0. Perkembangan teknologi serangan ini menjadi peringatan bagi organisasi yang mengandalkan jaringan SD-WAN untuk menghubungkan berbagai kantor dan pusat data. Meski kemampuan pencurian kunci telah teridentifikasi, keberhasilan pengiriman seluruh data yang dikumpulkan belum dapat dipastikan.
Celah Kritis Cisco SD WAN Menjadi Target Kelompok Penyerang
Pengungkapan aktivitas berbahaya pada Cisco Catalyst SD-WAN menjadi perhatian serius bagi administrator infrastruktur digital. Berdasarkan analisis keamanan, Cisco Talos mengungkap kelompok ancaman yang dikenal dengan kode UAT-11473. Kelompok tersebut diketahui menggunakan kerentanan CVE-2026-20127 untuk memasuki sistem tanpa izin pada perangkat pengendali SD-WAN. Ketika perangkat berhasil dikompromikan, penyerang menjalankan malware khusus bernama KeyDrift yang memiliki kemampuan memantau data komunikasi internal. Operasi berbahaya tersebut memperlihatkan bahwa infrastruktur komunikasi perusahaan dapat menjadi sasaran bernilai tinggi.
Masalah autentikasi yang dieksploitasi telah memiliki perbaikan keamanan dari Cisco pada Februari 2026. Walaupun pembaruan telah tersedia, temuan terbaru mengungkapkan aktivitas eksploitasi historis. Dalam hasil analisisnya, Talos mengungkapkan bahwa UAT-11473 menggunakan kelemahan autentikasi untuk mempertahankan akses ke sistem. Hasil penelitian itu tidak berarti bahwa semua pengguna mengalami pencurian data. Tingkat paparan organisasi ditentukan oleh konfigurasi akses, serta indikator kompromi yang ditemukan. Dengan mempertimbangkan kondisi tersebut, organisasi sebaiknya mengevaluasi penerapan pembaruan sistem.
Kerentanan CVE 2026 20127 Membuka Akses Tidak Sah ke Sistem Cisco
Celah keamanan pada sistem Cisco tersebut dikategorikan sebagai kelemahan bypass autentikasi. Jika dijelaskan secara praktis, kelemahan ini membuka kemungkinan bagi penyerang jarak jauh tanpa autentikasi untuk mendapatkan kewenangan administratif pada sistem yang menggunakan versi terdampak. Penilaian keamanan mencatat skor CVSS 10,0 yang menunjukkan kategori kritis dalam sistem penilaian kerentanan. Perangkat yang termasuk dalam cakupan mencakup Cisco Catalyst SD-WAN Controller, Manager, dan Validator sesuai pengumuman kerentanan resmi. Jika akses administratif disalahgunakan, penyerang berpotensi memanipulasi pengaturan komunikasi internal.
Risiko eksploitasi kerentanan ini memerlukan perhatian khusus karena SD-WAN digunakan untuk menghubungkan lokasi operasional organisasi. Dalam arsitektur tersebut, komponen Controller memiliki peran penting dalam pengelolaan hubungan antarsitus. Ketika pengendali mengalami kompromi, informasi jaringan sensitif berpotensi terekspos. Berdasarkan temuan peneliti, penyerang tidak hanya berusaha memperoleh akses, melainkan menggunakan malware yang memantau komunikasi pengendali. Kemampuan ini menunjukkan pentingnya perlindungan berlapis.
Malware KeyDrift Menargetkan Kunci Enkripsi Jaringan
Salah satu temuan paling penting Cisco Talos adalah keberadaan KeyDrift, yaitu rangkaian perangkat lunak berbahaya untuk perangkat yang mengelola komunikasi SD-WAN. Perangkat lunak berbahaya tersebut menggabungkan berbagai fungsi yang dirancang membantu pengumpulan informasi sensitif. Modul yang menjadi perhatian dikenal sebagai LittleFilch yang memiliki kemampuan memeriksa pesan internal yang telah melewati proses dekripsi. Berkat akses terhadap data internal, malware berpotensi memperoleh data yang digunakan untuk perlindungan koneksi. Menurut analisis peneliti, salah satu bidang data yang dikumpulkan diduga merupakan material kunci AES-256 untuk komunikasi antarsitus.
Dalam infrastruktur yang menggunakan enkripsi, material kunci enkripsi berperan sebagai komponen utama kerahasiaan lalu lintas. Apabila material tersebut bocor, potensi gangguan keamanan jaringan menjadi lebih serius. Dalam analisis KeyDrift, LittleFilch ditemukan memiliki fungsi untuk menyiapkan material sensitif dalam catatan data yang telah dienkripsi. Malware tersebut juga memiliki fungsi komunikasi keluar untuk mengirimkan material hasil pemantauan. Namun demikian, peneliti tidak berhasil membuktikan sepenuhnya cakupan informasi yang telah keluar dari sistem.
Serangan Cisco SD WAN Berkaitan dengan Ancaman Siber Tingkat Lanjut
Aktor serangan yang diidentifikasi Talos dikategorikan sebagai advanced persistent threat atau APT, yaitu ancaman siber terorganisasi. Berdasarkan penelitian Cisco Talos, sasaran yang diamati mencakup layanan antariksa dan satelit, pertahanan, teknologi kedirgantaraan, dan lembaga penelitian kebijakan. Bidang kegiatan tersebut dapat menyimpan informasi bernilai tinggi yang harus dijaga kerahasiaannya. Berdasarkan karakteristik target, pengumpulan informasi jaringan menimbulkan risiko yang perlu ditangani bagi organisasi terdampak.
Cisco Talos juga menemukan hubungan karakteristik infrastruktur antara UAT-11473 dan jaringan akses tersembunyi Silent Train yang memiliki keterkaitan pada analisis Volt Typhoon. Namun demikian, kemiripan ini belum menjadi kepastian bahwa semua operasi dilakukan organisasi identik. Tim investigasi perlu membedakan hubungan operasional dan penetapan identitas kelompok secara pasti. Pada analisis ancaman tingkat lanjut, kehati-hatian dalam menentukan pelaku menjadi penting agar kesimpulan tidak melampaui bukti. Melalui pendekatan tersebut, prioritas pengelola sistem sebaiknya diarahkan pada pemeriksaan indikator kompromi.
Cara Melindungi Cisco SD WAN dari Eksploitasi dan Malware
Menghadapi ancaman tersebut, prioritas utama adalah memastikan pembaruan keamanan diterapkan. Cisco telah menyediakan versi perangkat lunak yang menutup kerentanan. Tim keamanan perusahaan disarankan meninjau versi Cisco Catalyst SD-WAN yang terpasang pada sistem produksi. Ketika sistem masih menggunakan rilis terdampak, migrasi menuju versi yang telah diperbaiki sebaiknya ditangani tanpa penundaan yang tidak perlu. Selain itu, koneksi menuju komponen kontrol perlu dikendalikan agar terhindar dari paparan langsung yang tidak diperlukan. Pendekatan perlindungan ini membantu mengurangi risiko akses tidak sah.
Selain melakukan pembaruan, organisasi sebaiknya melaksanakan investigasi indikator kompromi. Hal ini penting karena kompromi dapat terjadi ketika sistem masih rentan. Cisco Talos menyarankan organisasi untuk memantau tanda aktivitas pascakompromi. Pemeriksaan tersebut perlu mempertimbangkan rekaman komunikasi jaringan, serta proses layanan yang tidak biasa. Ketika bukti serangan muncul, organisasi sebaiknya menerapkan mekanisme investigasi dan pemulihan. Apabila membutuhkan bantuan lanjutan, Cisco menyediakan bantuan melalui Technical Assistance Center atau TAC agar penanganan teknis dapat dilakukan dengan tepat.
Ancaman KeyDrift Menjadi Peringatan bagi Infrastruktur Perusahaan
Penemuan malware KeyDrift pada lingkungan Cisco SD-WAN memperlihatkan tantangan keamanan komunikasi perusahaan. Melalui eksploitasi CVE-2026-20127, kelompok UAT-11473 berhasil memperoleh akses tidak sah pada perangkat Cisco Catalyst SD-WAN. Dalam aktivitas lanjutan, penyerang menggunakan malware khusus yang dirancang mengumpulkan data pengamanan komunikasi. Walaupun demikian, hasil akhir pengiriman informasi belum dapat dipastikan sepenuhnya. Hasil investigasi ini menunjukkan kebutuhan agar organisasi tidak hanya mengandalkan enkripsi.
Seiring meningkatnya kompleksitas ancaman digital, perlindungan infrastruktur komunikasi merupakan bagian mendasar dalam mempertahankan integritas sistem. Pembaruan perangkat lunak harus didukung oleh pengendalian hak akses serta prosedur pemulihan yang jelas. Dengan menerapkan pendekatan berlapis, organisasi berpotensi menekan kemungkinan penyalahgunaan akses. Untuk profesional keamanan siber, pemahaman terhadap pola serangan menjadi bekal utama. Apa pendapat Anda, apakah pemantauan keamanan berkelanjutan mendapatkan perhatian yang cukup dalam menjaga keamanan komunikasi bisnis? Jangan ragu menyampaikan pandangan mengenai keamanan Cisco SD-WAN.
