Tin tặc khai thác lỗ hổng Cisco SD-WAN để cài malware đánh cắp khóa mã hóa
"Hackers exploited a critical vulnerability (CVE-2026-20127, CVSS 10.0) in Cisco Catalyst SD-WAN to deploy KeyDrift malware. This malware steals AES-256 encryption keys used for traffic between sites. Mitigation involves upgrading to fixed releases or limiting network access to specific ports; however, existing malware remains unaffected."
Lỗ hổng CVE-2026-20127 cho phép truy cập trái phép và đánh cắp khóa mã hóa quan trọng.
Sự cố có thể dẫn đến mất dữ liệu nhạy cảm và gián đoạn hoạt động của doanh nghiệp. Các tổ chức cần nâng cấp hệ thống ngay lập tức.
Cisco vừa xác nhận tin tặc đã khai thác lỗ hổng CVE-2026-20127 (CVSS 10.0) trên Catalyst SD-WAN để triển khai malware KeyDrift. Malware này có khả năng sao chép khóa AES-256 dùng để mã hóa lưu lượng giữa các site.
Đây là vấn đề quan trọng với các doanh nghiệp Việt Nam sử dụng Cisco SD-WAN, đặc biệt là các tổ chức tài chính, viễn thông, hoặc chính phủ. Việc mất khóa mã hóa có thể dẫn đến lộ thông tin nhạy cảm.
KeyDrift hoạt động bằng cách chèn vào quy trình vdaemon trên Controller, đọc các thông điệp điều khiển sau khi giải mã. Nó trích xuất địa chỉ IP và khóa AES-256 từ các edge router được chỉ định. Thông tin này sau đó được mã hóa bằng RSA và gửi qua UDP đến một địa chỉ ẩn, sau đó xóa file cấu hình.
Theo Cisco Talos, nhóm tấn công UAT-11473 có liên quan đến Volt Typhoon – một nhóm được cho là do nhà nước Trung Quốc tài trợ. Tuy nhiên, Talos chưa xác định được mối liên hệ trực tiếp giữa UAT-11473 và UAT-8616 (hoạt động khai thác lỗ hổng từ năm 2023).
Để khắc phục, Cisco khuyến nghị nâng cấp lên các phiên bản đã được vá lỗi. Đối với hệ thống on-premise, có thể hạn chế truy cập vào các cổng 22 và 830 từ các địa chỉ IP đã biết. Tuy nhiên, biện pháp này không loại bỏ malware đã cài đặt. https://www.securityweek.com/hackers-exploited-cisco-sd-wan-flaw-to-plant-malware-built-to-steal-encryption-keys/
Câu hỏi thường gặp
CVE-2026-20127 là gì?
Đây là một lỗ hổng nghiêm trọng trên Cisco Catalyst SD-WAN cho phép tin tặc truy cập trái phép và chiếm quyền điều khiển hệ thống.
Malware KeyDrift hoạt động như thế nào?
KeyDrift đánh cắp khóa mã hóa AES-256 được sử dụng để bảo vệ lưu lượng mạng, sau đó gửi thông tin này đến máy chủ của kẻ tấn công.
Các phiên bản Cisco SD-WAN nào bị ảnh hưởng?
Lỗ hổng ảnh hưởng đến Catalyst SD-WAN Controller, Manager và Validator, bất kể cấu hình. Cả hệ thống on-premise và cloud đều bị ảnh hưởng.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý với các doanh nghiệp Việt Nam đang sử dụng SD-WAN của Cisco. Việc nâng cấp lên phiên bản mới nhất là cần thiết. Các tổ chức nên kiểm tra hệ thống để phát hiện dấu hiệu xâm nhập và liên hệ với Cisco TAC nếu cần hỗ trợ.