Ancaman keamanan siber kembali menjadi perhatian setelah Cisco Talos mengungkap aktivitas kelompok penyerang yang mengeksploitasi celah kritis pada sistem Cisco Catalyst SD-WAN. Dalam laporan yang diterbitkan pada 28 Oktober 2026, peneliti menemukan malware khusus bernama KeyDrift yang dirancang untuk mengumpulkan informasi kunci enkripsi jaringan. Serangan tersebut memanfaatkan kerentanan CVE-2026-20127 yang memiliki tingkat keparahan maksimum 10,0. Perkembangan teknologi serangan ini menjadi peringatan bagi organisasi yang mengandalkan jaringan SD-WAN untuk menghubungkan berbagai kantor dan pusat data. Meski kemampuan pencurian kunci telah teridentifikasi, keberhasilan pengiriman seluruh data yang dikumpulkan belum dapat dipastikan.
Celah Kritis Cisco SD WAN Menjadi Target Kelompok Penyerang
Identifikasi aktivitas berbahaya pada Cisco Catalyst SD-WAN menghadirkan tantangan baru bagi administrator infrastruktur digital. Berdasarkan analisis keamanan, Cisco Talos menemukan kelompok ancaman yang dikenal dengan kode UAT-11473. Aktor ancaman ini teridentifikasi mengeksploitasi kerentanan CVE-2026-20127 untuk memasuki sistem tanpa izin pada komponen pengelolaan jaringan. Setelah memperoleh akses, penyerang memasang malware khusus bernama KeyDrift yang dirancang untuk mengambil material kunci enkripsi. Aktivitas ini menunjukkan bahwa sistem manajemen konektivitas dapat menjadi sasaran bernilai tinggi.
Celah keamanan tersebut sudah mendapatkan perbaikan keamanan dari Cisco pada Februari 2026. Walaupun pembaruan telah tersedia, laporan keamanan Oktober mengungkapkan aktivitas eksploitasi historis. Tim peneliti keamanan menyampaikan bahwa UAT-11473 memanfaatkan kelemahan autentikasi untuk menanamkan perangkat lunak berbahaya. Hasil penelitian itu belum membuktikan bahwa setiap perangkat terdampak mengalami kompromi. Risiko aktual perlu dinilai melalui riwayat pembaruan, serta hasil pemeriksaan keamanan. Sebagai tindakan pencegahan, organisasi disarankan memeriksa kondisi pengendali jaringan.
Memahami Risiko Keamanan pada Cisco Catalyst SD WAN Controller
Kerentanan yang menjadi pusat serangan merupakan kerentanan yang memungkinkan pelewatan verifikasi akses. Dalam pengertian umum, kelemahan ini berpotensi memungkinkan penyerang jarak jauh tanpa autentikasi untuk memperoleh hak akses tinggi pada sistem yang belum memperoleh perbaikan. Kerentanan ini memperoleh skor CVSS 10,0 yang menggambarkan tingkat keparahan maksimum dalam klasifikasi kelemahan perangkat lunak. Sistem yang perlu diperhatikan mencakup Cisco Catalyst SD-WAN Controller, Manager, dan Validator sesuai cakupan produk dalam advisori. Ketika pengendali jaringan berhasil dikuasai, penyerang dapat mengubah konfigurasi jaringan.
Konsekuensi penyalahgunaan akses menjadi serius karena SD-WAN berfungsi mengintegrasikan lokasi operasional organisasi. Dalam arsitektur tersebut, komponen Controller memiliki peran penting dalam pengaturan komunikasi. Apabila komponen ini disusupi, material keamanan koneksi dapat menjadi sasaran pengambilan. Berdasarkan temuan peneliti, penyerang melampaui aktivitas masuk tanpa izin, melainkan mengembangkan malware yang memantau komunikasi pengendali. Kemampuan ini memperbesar kebutuhan pemeriksaan keamanan.
Malware KeyDrift Menargetkan Kunci Enkripsi Jaringan
Bagian utama dalam penelitian Cisco Talos adalah keberadaan KeyDrift, yaitu kerangka malware khusus untuk perangkat yang mengelola komunikasi SD-WAN. Perangkat lunak berbahaya tersebut memiliki beberapa komponen yang digunakan untuk pengumpulan informasi sensitif. Salah satu komponennya dikenal sebagai LittleFilch yang dirancang untuk membaca data komunikasi setelah didekripsi. Berkat akses terhadap data internal, malware dapat mengidentifikasi material keamanan komunikasi. Berdasarkan pemeriksaan teknis, salah satu bidang data yang dikumpulkan berkaitan dengan material kunci AES-256 untuk komunikasi antarsitus.
Pada jaringan perusahaan modern, kunci kriptografi berperan sebagai komponen utama kerahasiaan lalu lintas. Apabila material tersebut bocor, risiko penyalahgunaan komunikasi dapat meningkat. Pada penelitian malware tersebut, LittleFilch teridentifikasi mampu mengumpulkan data terkait kunci dalam catatan data yang telah dienkripsi. Sistem pengumpulan tersebut dilengkapi kemampuan pengiriman data untuk meneruskan hasil pengumpulan. Namun demikian, peneliti tidak berhasil membuktikan sepenuhnya cakupan informasi yang telah keluar dari sistem.
Kelompok UAT 11473 Menargetkan Infrastruktur Bernilai Tinggi
Kelompok ancaman UAT-11473 dikategorikan sebagai advanced persistent threat atau APT, yaitu ancaman siber terorganisasi. Menurut hasil investigasi perusahaan, sasaran yang diamati mencakup industri ruang angkasa serta komunikasi satelit, pertahanan, teknologi kedirgantaraan, dan organisasi riset strategis. Sektor-sektor tersebut sering mengelola komunikasi penting yang harus dijaga kerahasiaannya. Berdasarkan karakteristik target, penguasaan sistem kontrol komunikasi menimbulkan risiko yang perlu ditangani bagi tim keamanan perusahaan.
Dalam investigasi tambahan, Talos mengidentifikasi hubungan karakteristik infrastruktur antara UAT-11473 dan jaringan akses tersembunyi Silent Train yang dikaitkan dengan Volt Typhoon. Meski peneliti melihat hubungan teknis, indikasi tersebut tidak dapat langsung diartikan sebagai semua operasi dilakukan organisasi identik. Tim investigasi harus memisahkan hubungan operasional dan penetapan identitas kelompok secara pasti. Dalam konteks keamanan siber, akurasi identifikasi aktor perlu diprioritaskan agar analisis tidak menghasilkan tuduhan tanpa dasar. Dengan demikian, prioritas pengelola sistem perlu mencakup pemeriksaan indikator kompromi.
Strategi Keamanan Jaringan untuk Mencegah Penyalahgunaan Akses
Menghadapi ancaman tersebut, prioritas utama adalah memastikan pembaruan keamanan diterapkan. Pihak pengembang sistem telah menghadirkan perbaikan keamanan bagi produk terdampak. Pengelola infrastruktur sebaiknya mengevaluasi versi Cisco Catalyst SD-WAN yang beroperasi dalam organisasi. Apabila ditemukan versi rentan, proses peningkatan versi harus diprioritaskan. Sebagai pengamanan tambahan, koneksi menuju komponen kontrol perlu dikendalikan agar hanya dapat digunakan oleh sistem yang berwenang. Pendekatan perlindungan ini membantu mengurangi peluang eksploitasi.
Tidak cukup hanya memasang patch, organisasi juga perlu menjalankan pemeriksaan aktivitas mencurigakan. Hal ini penting karena pemasangan patch tidak otomatis menghapus malware yang sebelumnya terpasang. Dalam rekomendasi keamanannya, Talos menekankan organisasi untuk mencari indikator serangan lanjutan. Aktivitas peninjauan keamanan perlu mempertimbangkan rekaman komunikasi jaringan, serta proses layanan yang tidak biasa. Ketika bukti serangan muncul, organisasi harus menjalankan prosedur respons insiden. Dalam penanganan kasus yang kompleks, Cisco merekomendasikan koordinasi dengan Technical Assistance Center atau TAC agar penanganan teknis dapat dilakukan dengan tepat.
Perlindungan Kunci Enkripsi Menjadi Prioritas Keamanan Digital
Identifikasi malware KeyDrift pada lingkungan Cisco SD-WAN memperlihatkan risiko serangan terhadap sistem pengendali. Melalui eksploitasi CVE-2026-20127, kelompok UAT-11473 berhasil memperoleh akses tidak sah pada komponen kontrol jaringan. Dalam aktivitas lanjutan, penyerang memasang malware khusus yang dirancang mengumpulkan data pengamanan komunikasi. Walaupun demikian, cakupan data yang benar-benar keluar belum dapat dipastikan sepenuhnya. Temuan tersebut menjadi pengingat agar administrator memperkuat keamanan komponen kontrol.
Pada era konektivitas perusahaan modern, perlindungan infrastruktur komunikasi merupakan prioritas penting dalam melindungi informasi perusahaan. Pemeliharaan sistem secara teratur harus didukung oleh pemeriksaan konfigurasi serta evaluasi keamanan berkelanjutan. Dengan menerapkan pendekatan berlapis, organisasi mampu membatasi risiko serangan lanjutan. Bagi administrator jaringan, kemampuan mengenali ancaman memiliki peran penting. Menurut pengalaman Anda, apakah pembaruan sistem secara rutin mendapatkan perhatian yang cukup dalam menghadapi ancaman siber modern? Jangan ragu menyampaikan pandangan mengenai keamanan Cisco SD-WAN.
