Administratoren sollten umgehend die von Cisco bereitgestellten Patches für CVE-2026-20127 auf allen Cisco Catalyst SD-WAN Controllern anwenden.
▸▾Herleitung der Bewertung(6)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2026-20127+25
- Hoechster CVSS-Basiswert 10.0+18
- EPSS 87.6 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+13
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-20127, CVSS-Vektor AV:N/PR:N)+10
- Belegte Wirkungstaktik: exfiltration+8
- 1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Woraus sich die Konfidenz ergibt
- Zwei unabhaengige Herausgeber berichten den Sachverhalt
- Darunter eine technische Analyse mit pruefbaren Details
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Hackers exploit Cisco SD-WAN flaw to deploy custom KeyDrift malware
Eine APT-Gruppe namens UAT-11473 (möglicherweise Volt Typhoon) nutzt eine kritische Schwachstelle (CVE-2026-20127) in Cisco Catalyst SD-WAN Controllern aus. Betroffen sind Organisationen in den Bereichen Raumfahrt, Verteidigung und Politikforschung. Administratoren sollten umgehend die von Cisco bereitgestellten Patches anwenden, um die Ausnutzung der Schwachstelle und die Installation der KeyDrift-Malware zu verhindern.
SecBoard-Einordnung
Die Ausnutzung dieser Schwachstelle ermöglicht Angreifern, persistenten Zugriff zu erlangen und sensibles Schlüsselmaterial zu exfiltrieren, was zu erheblichen Sicherheitsverletzungen und Datenverlust führen kann.
Realistisch schlimmster Fall: Der schlimmste Fall ist der vollständige Kompromittierung von SD-WAN-Infrastrukturen, die Exfiltration von kritischem Schlüsselmaterial und langfristiger persistenter Zugriff für die APT-Gruppe, was weitreichende Auswirkungen auf die betroffenen Sektoren haben könnte.
Im erfassten Bestand
- ▸19. erfasste Meldung zu Volt Typhoon innerhalb von 90 Tagen.
- ▸CVE-2026-20127 kommt damit in 8 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 10.0 · CRITICAL
- EPSS
- 87.6%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-02-25
- Patch
- unbekannt
Betroffen
Organisationen in den Bereichen Raumfahrt, Verteidigung, Luft- und Raumfahrt sowie Politikforschung, die Cisco Catalyst SD-WAN Controller verwenden.
Hersteller
Produkte
Prüfen
3- ▸Überprüfen Sie, ob Cisco Catalyst SD-WAN Controller in Ihrer Umgebung eingesetzt werden.
- ▸Stellen Sie sicher, dass alle Cisco Catalyst SD-WAN Controller auf die neueste gepatchte Version aktualisiert wurden, um CVE-2026-20127 zu beheben.
▸ 1 weitere▾ weniger
- ▸Suchen Sie in Ihren Netzwerkprotokollen und Endpunkten nach Anzeichen der KeyDrift-Malware oder ungewöhnlichen Aktivitäten, die auf eine Kompromittierung hindeuten könnten.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genaue Identität der APT-Gruppe UAT-11473 ist nicht vollständig bestätigt (möglicherweise Volt Typhoon).
- ▸Spezifische IOCs für die KeyDrift-Malware sind im Artikel nicht genannt.
- ▸Die genauen Versionen der Cisco Catalyst SD-WAN Controller, die von der Schwachstelle betroffen sind, sind nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Cisco extern erreichbar?
- Können wir Defense Evasion detektieren?
- Können wir Exfiltration detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(5)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„exfiltration of sensitive keying material“
„Hackers exploit Cisco SD-WAN flaw“
„deploy custom KeyDrift malware, designed for persistent access“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
1
1 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- Cisco TalosTechnischer BelegInside KeyDrift: Analyzing historical UAT-11473 activity on Cisco SD-WAN
- BleepingComputerKontextHackers exploit Cisco SD-WAN flaw to deploy custom KeyDrift malware
Der Vorgang wird seit 1 Tagen berichtet.
Quellen & Belege· 2 unterschiedliche Quellen
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.