Para proteger sistemas de gerenciamento SD-WAN, a Lumen recomenda reduzir a exposição à internet, restringir o acesso administrativo, priorizar atualizações e centralizar os registros de segurança. A empresa também orienta investigar logins, atividades de API, transferências remotas de arquivos e alterações de configuração incomuns. As recomendações vêm em meio a relatos de exploração da CVE-2026-20127, uma falha de bypass de autenticação nos controladores Cisco SD-WAN Catalyst.

Neste artigo

Como reduzir a exposição dos sistemas de gerenciamento

A Lumen recomenda restringir interfaces administrativas com VPNs, políticas de controle de acesso, jump hosts, que são servidores intermediários usados para administrar sistemas, ou redes de gerenciamento dedicadas. Também orienta priorizar a aplicação de patches e preservar os registros de segurança em um repositório centralizado.

Para identificar atividades suspeitas, a recomendação é investigar logins administrativos incomuns, chamadas de API, transferências remotas de arquivos e mudanças de configuração fora do padrão. Essas medidas se aplicam à proteção de sistemas de gerenciamento e plano de controle; não indicam que uma organização específica tenha sido comprometida.

O que foi relatado sobre CVE-2026-20127

A CVE-2026-20127 é uma falha de bypass de autenticação no mecanismo de peering e no plano de controle de instâncias do Cisco SD-WAN Catalyst Controller. A Lumen atribui à vulnerabilidade uma pontuação CVSS de 10,0.

A Lumen relata que Volt Typhoon explorava a falha no fim de 2025 e continuou a fazê-lo depois que a Cisco a divulgou, em fevereiro de 2026. Em um relato separado, publicado em 28 de outubro de 2026, a Cisco Talos atribuiu a UAT-11473 uma exploração histórica da mesma vulnerabilidade em controladores Cisco SD-WAN Catalyst.

O que a Talos atribui ao KeyDrift

A Talos descreve o KeyDrift como uma estrutura usada para manter acesso persistente aos controladores e coletar material de chaves sensível do tráfego do plano de controle. Segundo a análise, PolyFlame é uma porta dos fundos e componente intermediário de comando e controle que opera em processos legítimos do controlador. LittleFilch intercepta a função SSL_read no processo vdaemon, examina buffers de tráfego de controle já descriptografado e coleta material de chaves. A Talos avalia que esse material inclui chaves do plano de dados.

A Talos atribui à UAT-11473 a instalação do KeyDrift. A cobertura anterior da NeoTeo sobre a análise da Talos e o KeyDrift detalha esse relato; a recomendação prática da Lumen é proteger os sistemas de gerenciamento e observar as atividades administrativas incomuns.

Silent Train e as atribuições distintas

A Lumen descreve Silent Train, rede associada por ela a Volt Typhoon, como uma estrutura de retransmissão que usa cadeias rotativas de dispositivos SOHO, IoT e empresariais comprometidos. Segundo a empresa, as operações incluem limpeza posterior, e atividades mais recentes também recorreram a sistemas empresariais de maior duração.

A Talos avalia que a infraestrutura operacional de UAT-11473 se sobrepõe consideravelmente à rede Silent Train. Seu relato trata da atividade de UAT-11473 e do KeyDrift; separadamente, a Lumen atribui a Volt Typhoon sua campanha de exploração da CVE-2026-20127.