Après les signalements d’exploitation de CVE-2026-20127 sur Cisco SD-WAN, la priorité défensive est de réduire l’accès aux systèmes de gestion. Lumen recommande de limiter leur exposition à Internet, de restreindre les accès administratifs, de prioriser les correctifs et de surveiller les activités inhabituelles.

Dans cet article

Réduire l’exposition des systèmes de gestion

Lumen recommande de recenser les systèmes de gestion accessibles depuis Internet et d’en réduire l’exposition. Pour restreindre les accès administratifs, ses recommandations citent les VPN, les politiques de contrôle d’accès, les bastions et les réseaux de gestion dédiés.

Lumen préconise aussi de conserver et de centraliser la télémétrie de sécurité. Les équipes doivent examiner les connexions administratives inhabituelles, l’activité des API, les transferts de fichiers à distance et les changements de configuration. Lumen recommande de prioriser les correctifs ; Talos indique que Cisco a publié des correctifs pour CVE-2026-20127.

Ce que l’on sait de CVE-2026-20127

CVE-2026-20127 est une faille de contournement d’authentification qui touche le mécanisme d’appairage du plan de contrôle des instances Cisco SD-WAN Catalyst Controller. Lumen lui attribue un score CVSS de 10,0.

Lumen rapporte que Volt Typhoon exploitait la faille fin 2025 et a poursuivi ses opérations après que Cisco l’a divulguée en février 2026. Dans un rapport publié le 28 octobre 2026, Cisco Talos a également attribué une exploitation historique à UAT-11473, sans dater ces intrusions.

KeyDrift collecte des informations liées aux clés

Cisco Talos décrit KeyDrift comme un ensemble de composants conçu pour maintenir un accès aux contrôleurs SD-WAN et recueillir des informations sensibles liées aux clés de chiffrement dans le trafic du plan de contrôle. Talos attribue deux rôles distincts à ses composants : PolyFlame sert de porte dérobée et de relais de commande, tandis que LittleFilch inspecte des données de contrôle déchiffrées afin de collecter du matériel cryptographique. Talos estime que celui-ci comprend des clés du plan de données.

Pour approfondir le volet technique de l’analyse de Talos, retrouvez notre article sur KeyDrift et UAT-11473.

Silent Train et les attributions de Talos

Lumen décrit Silent Train comme un réseau de relais formé de chaînes renouvelées d’équipements compromis : appareils SOHO, objets connectés et systèmes d’entreprise. Lumen rapporte également des opérations de nettoyage après les intrusions et, dans des opérations ultérieures, le recours à des systèmes d’entreprise conservés plus longtemps.

Talos évalue avec un niveau de confiance élevé que l’infrastructure de UAT-11473 recoupe largement Silent Train, associé à Volt Typhoon. Cette évaluation porte sur le chevauchement des infrastructures, pas sur l’identité des acteurs. De son côté, Lumen attribue à Volt Typhoon sa campagne d’exploitation de CVE-2026-20127.