Lumen zaleca ograniczyć ekspozycję systemów zarządzania na internet, zawęzić dostęp administracyjny, szybko wdrażać poprawki i zachowywać logi. To praktyczne priorytety ochrony po doniesieniach o wykorzystaniu luki CVE-2026-20127 w Cisco SD-WAN przez Volt Typhoon oraz o odrębnej aktywności UAT-11473 opisanej przez Cisco Talos.

Spis treści

Jak chronić systemy zarządzania

Lumen zaleca ograniczenie dostępu z internetu do interfejsów administracyjnych. Dostęp dla administratorów warto ograniczyć za pomocą VPN, polityk kontroli dostępu, serwerów pośredniczących (jump hostów) albo wydzielonej sieci zarządzania. Lumen wskazuje też na priorytetowe wdrażanie poprawek oraz centralne przechowywanie logów i telemetrii bezpieczeństwa.

Przy analizie zdarzeń warto zwracać uwagę na nietypowe logowania administratorów, aktywność w API, zdalne transfery plików i zmiany konfiguracji. Takie ślady mogą pomóc wychwycić podejrzane działania na systemach zarządzania, których dostęp do infrastruktury sieciowej ma szeroki zakres.

Co wiadomo o luce CVE-2026-20127

CVE-2026-20127 to luka typu obejście uwierzytelniania w mechanizmie peeringu i płaszczyźnie sterowania instancji Cisco SD-WAN Catalyst Controller. Lumen podaje dla niej ocenę CVSS 10,0. Według Lumen Volt Typhoon wykorzystywał lukę już pod koniec 2025 roku i kontynuował działania po jej ujawnieniu przez Cisco w lutym 2026 roku.

28 października 2026 roku Cisco Talos opisał odrębne, historyczne wykorzystanie tej luki przez śledzoną przez siebie grupę UAT-11473. Talos poinformował również, że Cisco udostępniło poprawki. Lumen zaleca priorytetowo instalować poprawki w systemach zarządzania.

Jak KeyDrift działał na kontrolerach SD-WAN

Według Talos UAT-11473 wdrożył KeyDrift, framework służący do utrzymania dostępu do kontrolerów i zbierania wrażliwego materiału kluczowego z ruchu sterującego. Talos opisał PolyFlame jako backdoor i pośredniczący komponent komunikacji z infrastrukturą sterującą, działający w legalnych procesach kontrolera.

Drugi komponent, LittleFilch, przechwytuje wywołania SSL_read w procesie vdaemon i analizuje odszyfrowane bufory płaszczyzny sterowania. Zbiera z nich materiał kluczowy; Talos ocenia, że obejmuje on klucze płaszczyzny danych. Wcześniejszy artykuł NeoTeo o analizie KeyDrift i UAT-11473 opisuje techniczne szczegóły tego frameworka.

Silent Train i zakres ustaleń

Lumen opisuje Silent Train jako zmieniające się łańcuchy przekaźników złożone z przejętych urządzeń SOHO, IoT i infrastruktury firmowej. Po operacjach napastnicy usuwają ślady, a w późniejszych działaniach wykorzystywali także dłużej utrzymywane systemy przedsiębiorstw.

Talos ocenił z wysoką pewnością, że infrastruktura UAT-11473 w znacznym stopniu pokrywa się z siecią Silent Train, którą Lumen wiąże z Volt Typhoon. Talos nie stwierdził, że UAT-11473 i Volt Typhoon to ten sam aktor. Lumen osobno przypisał Volt Typhoon kampanię z wykorzystaniem CVE-2026-20127.

W szerszym zestawie działań Silent Train Lumen wymienia cztery potwierdzone kampanie wykorzystujące luki zero-day: dotyczące Versa Director, N-able N-central, Cisco Catalyst SD-WAN i VeloCloud Orchestrator. Wskazuje też jedną prawdopodobną kampanię związaną z Quest KACE.