Per proteggere i sistemi di gestione di Cisco SD-WAN, Lumen raccomanda di ridurne l’esposizione a Internet, limitare gli accessi amministrativi, dare priorità alle patch e conservare i log di sicurezza. Suggerisce anche di indagare accessi, attività API, trasferimenti di file e modifiche di configurazione insoliti. Le indicazioni arrivano dopo i rapporti sullo sfruttamento di CVE-2026-20127, una vulnerabilità di bypass dell’autenticazione nel sistema di peering SD-WAN.

In questo articolo

Come ridurre i rischi sui sistemi di gestione

Lumen consiglia di limitare l’accesso alle interfacce amministrative usando VPN, policy di controllo degli accessi, jump host, cioè server intermedi per le connessioni amministrative, oppure reti dedicate alla gestione. Ridurre i sistemi esposti a Internet e separare i percorsi amministrativi limita i punti attraverso cui si può raggiungere il piano di controllo, la parte della rete che coordina configurazioni e comunicazioni tra dispositivi.

Le patch sono un’altra priorità indicata da Lumen. Cisco Talos riferisce che Cisco ha rilasciato correzioni per CVE-2026-20127. Per individuare attività sospette, Lumen raccomanda di conservare e centralizzare i log e di controllare accessi amministrativi insoliti, chiamate API, trasferimenti remoti di file e cambiamenti di configurazione.

Che cosa è stato riferito su CVE-2026-20127

CVE-2026-20127 consente di aggirare l’autenticazione del peering sulle istanze Cisco SD-WAN Catalyst Controller. Lumen riferisce che Volt Typhoon sfruttava la vulnerabilità già dalla fine del 2025 e ha proseguito dopo che Cisco l’ha resa nota nel febbraio 2026.

In un rapporto pubblicato il 28 ottobre 2026, Cisco Talos ha descritto un distinto sfruttamento storico attribuito a UAT-11473. Talos afferma che l’attività ha interessato istanze Catalyst Controller e ha portato all’installazione di KeyDrift. Il rapporto di Talos non data quelle intrusioni.

Che cosa fa KeyDrift secondo Talos

Talos descrive KeyDrift come un framework destinato a mantenere l’accesso ai controller e raccogliere materiale crittografico dal traffico del piano di controllo. Il framework comprende PolyFlame, una backdoor e un componente di comando e controllo intermedio, e LittleFilch.

Secondo Talos, LittleFilch intercetta la funzione SSL_read nel processo legittimo vdaemon, esamina buffer di traffico dopo la decifratura e raccoglie materiale per le chiavi. Talos valuta che questo materiale comprenda chiavi del piano dati, usate per trasportare i dati attraverso la rete. La raccolta può quindi esporre informazioni utili a proteggere il traffico SD-WAN, oltre a mantenere l’accesso al controller.

Per approfondire il resoconto di Talos su UAT-11473 e KeyDrift, NeoTeo ha ricostruito i dettagli dell’analisi.

Silent Train e le attribuzioni

Lumen descrive Silent Train come una rete di relay, cioè nodi intermedi, che usa catene rotanti di dispositivi SOHO, IoT e aziendali compromessi per raggiungere altri sistemi. Secondo Lumen, l’attività coerente con questo schema è stata osservata a partire da novembre 2023; le operazioni prevedono anche la rimozione delle tracce dai sistemi usati come relay.

Lumen attribuisce a Volt Typhoon la propria ricostruzione della campagna contro Cisco SD-WAN. Talos, invece, identifica UAT-11473 come attore tracciato separatamente e valuta che la sua infrastruttura operativa si sovrapponga in misura considerevole alla rete Silent Train. I due rapporti descrivono quindi campagne distinte e una sovrapposizione di infrastrutture. Lumen riferisce inoltre quattro campagne zero-day confermate attraverso Silent Train, rivolte a Versa Director, N-able N-central, Cisco Catalyst SD-WAN e VeloCloud Orchestrator, e una campagna probabile contro Quest KACE.