Cisco SD-WANに「KeyDrift」―正規プロセス内で暗号鍵を収集する攻撃

Cisco Talosは2026年10月28日、Catalyst SD-WANへの過去の侵入を解析し、暗号鍵などを収集するマルウェア「KeyDrift」を公表しました。入口は2月に修正が公開された認証回避の脆弱性CVE-2026-20127で、今回新たに見つかった脆弱性ではありません。

TalosがUAT-11473と呼ぶ攻撃者は、認証を回避して侵入した後、正規の制御プロセス内に不正なモジュールを組み込んでいました。制御通信が復号された段階で鍵情報などを取り出し、暗号化して保存・送信する機能を持ちます。外部への通信先を固定した一般的なバックドアとは挙動が異なります。

観測対象には宇宙・衛星サービス、防衛・航空宇宙技術、政策研究の分野が含まれます。ただし報告は、各組織から持ち出された鍵の件数や、その鍵を使って実際に解読された通信を示していません。収集機能の確認と、通信内容の流出確定は区別が必要です。

脆弱性の評価はCritical、CVSS 10.0です。修正版は20.15系で20.15.4.2、20.18系で20.18.2.1などで、運用中の系統と互換性を公式表で照合します。Talosは更新に加えて侵入後の痕跡を監視し、不正な活動があればインシデント対応とCisco TACへの相談を行うよう勧めています。