Para proteger los sistemas de gestión de Cisco SD-WAN, Lumen Black Lotus Labs recomienda reducir su exposición a internet, restringir el acceso administrativo, aplicar parches y vigilar la actividad inusual. Sus medidas apuntan a interfaces que dan acceso a funciones centrales de la red, no solo a los dispositivos de cada sede.

En este artículo

Cómo reducir el riesgo en los sistemas de gestión

Lumen recomienda limitar la exposición de los sistemas administrativos y restringir su acceso mediante VPN, políticas de control de acceso, servidores de salto o redes de gestión dedicadas. También aconseja priorizar los parches y conservar los registros de seguridad de forma centralizada.

Para detectar actividad sospechosa, Lumen propone investigar inicios de sesión administrativos, uso inusual de API, transferencias remotas de archivos y cambios de configuración. En conjunto, estas medidas cubren tanto las vías de acceso como las señales que podrían aparecer durante una actividad no autorizada.

Qué se ha reportado sobre CVE-2026-20127

CVE-2026-20127 es un fallo de bypass de autenticación en el plano de control de Cisco SD-WAN Catalyst Controller. El plano de control coordina la gestión de la red. Cisco Talos informó el 28 de octubre de 2026 de que UAT-11473 había explotado históricamente la vulnerabilidad en esos controladores e instalado KeyDrift para mantener el acceso y recopilar material criptográfico.

Lumen Black Lotus Labs atribuyó a Volt Typhoon una campaña separada contra la misma vulnerabilidad: según su informe, la explotación estaba en marcha a finales de 2025 y continuó después de que Cisco divulgara el fallo en febrero de 2026. Lumen recoge una puntuación de 10,0 en CVSS para CVE-2026-20127. Talos indicó que Cisco había publicado parches.

Qué hacía KeyDrift en los controladores

Talos describió KeyDrift como un conjunto de herramientas destinado a mantener acceso persistente al controlador y recopilar material de claves del tráfico del plano de control. PolyFlame funciona como puerta trasera y componente intermediario de mando y control dentro de procesos legítimos del controlador. LittleFilch intercepta la función SSL_read en vdaemon y analiza búferes de tráfico ya descifrados para recoger material criptográfico; Talos evalúa que ese material incluye claves del plano de datos.

La cobertura anterior de NeoTeo sobre los hallazgos de Talos acerca de UAT-11473 y KeyDrift ofrece el contexto de ese análisis técnico.

Silent Train y el alcance de las atribuciones

Lumen describe Silent Train como un sistema de retransmisión que emplea cadenas rotativas de dispositivos comprometidos de oficinas pequeñas y domésticas, equipos IoT e infraestructura empresarial. Según Lumen, las operaciones incluyen la limpieza posterior de los sistemas utilizados y, en etapas posteriores, también recurrieron a plataformas empresariales de permanencia más prolongada.

Talos evaluó con alto grado de confianza que la infraestructura operativa de UAT-11473 se solapa considerablemente con Silent Train, la red que Lumen relaciona con Volt Typhoon. Ese hallazgo describe un solapamiento de infraestructura; Talos no identifica a UAT-11473 y Volt Typhoon como un mismo actor.