Ancaman keamanan siber kembali menjadi perhatian setelah Cisco Talos mengungkap aktivitas kelompok penyerang yang mengeksploitasi celah kritis pada sistem Cisco Catalyst SD-WAN. Dalam laporan yang diterbitkan pada 28 Oktober 2026, peneliti menemukan malware khusus bernama KeyDrift yang dirancang untuk mengumpulkan informasi kunci enkripsi jaringan. Serangan tersebut memanfaatkan kerentanan CVE-2026-20127 yang memiliki tingkat keparahan maksimum 10,0. Perkembangan teknologi serangan ini menjadi peringatan bagi organisasi yang mengandalkan jaringan SD-WAN untuk menghubungkan berbagai kantor dan pusat data. Meski kemampuan pencurian kunci telah teridentifikasi, keberhasilan pengiriman seluruh data yang dikumpulkan belum dapat dipastikan.
Ancaman Keamanan Jaringan Cisco Terungkap melalui Penelitian Malware
Identifikasi aktivitas berbahaya pada Cisco Catalyst SD-WAN menghadirkan peringatan penting bagi pengelola jaringan perusahaan. Dalam investigasi yang dipublikasikan, Cisco Talos mengungkap kelompok ancaman yang dilacak sebagai UAT-11473. Aktor ancaman ini dilaporkan memanfaatkan kerentanan CVE-2026-20127 untuk menembus mekanisme autentikasi pada perangkat pengendali SD-WAN. Sesudah berhasil memasuki sistem, penyerang memasang malware khusus bernama KeyDrift yang dirancang untuk memantau data komunikasi internal. Aktivitas ini memperlihatkan bahwa perangkat pengendali jaringan memiliki risiko keamanan yang serius.
Masalah autentikasi yang dieksploitasi sudah mendapatkan perbaikan keamanan dari Cisco pada Februari 2026. Meski perusahaan sudah merilis patch, hasil investigasi lanjutan menunjukkan adanya serangan yang berlangsung sebelumnya. Tim peneliti keamanan menyampaikan bahwa UAT-11473 memanfaatkan kelemahan autentikasi untuk mempertahankan akses ke sistem. Hasil penelitian itu belum membuktikan bahwa setiap perangkat terdampak mengalami kompromi. Tingkat paparan organisasi perlu dinilai melalui konfigurasi akses, serta indikator kompromi yang ditemukan. Sebagai tindakan pencegahan, organisasi sebaiknya mengevaluasi status keamanan perangkat.
Memahami Risiko Keamanan pada Cisco Catalyst SD WAN Controller
Kerentanan yang menjadi pusat serangan merupakan kerentanan yang memungkinkan pelewatan verifikasi akses. Secara sederhana, kelemahan ini membuka kemungkinan bagi penyerang jarak jauh tanpa autentikasi untuk mendapatkan kewenangan administratif pada sistem yang belum memperoleh perbaikan. Cisco memberikan skor CVSS 10,0 yang menunjukkan kategori kritis dalam klasifikasi kelemahan perangkat lunak. Sistem yang perlu diperhatikan mencakup Cisco Catalyst SD-WAN Controller, Manager, dan Validator sesuai pengumuman kerentanan resmi. Jika akses administratif disalahgunakan, penyerang dapat mengubah pengaturan komunikasi internal.
Konsekuensi penyalahgunaan akses memerlukan perhatian khusus karena SD-WAN membantu mengelola komunikasi antara lokasi operasional organisasi. Melalui sistem konektivitas tersebut, komponen Controller menjalankan fungsi utama dalam pengaturan komunikasi. Apabila komponen ini disusupi, informasi jaringan sensitif berpotensi terekspos. Pada investigasi KeyDrift, penyerang melampaui aktivitas masuk tanpa izin, melainkan menggunakan malware yang mengakses data setelah proses dekripsi. Pendekatan tersebut menunjukkan pentingnya perlindungan berlapis.
Teknologi Malware Khusus Mengancam Perlindungan Komunikasi SD WAN
Bagian utama dalam penelitian Cisco Talos adalah keberadaan KeyDrift, yaitu rangkaian perangkat lunak berbahaya untuk perangkat yang mengelola komunikasi SD-WAN. Kerangka serangan ini terdiri atas sejumlah modul yang digunakan untuk pengumpulan informasi sensitif. Salah satu komponennya dikenal sebagai LittleFilch yang memiliki kemampuan memeriksa data komunikasi setelah didekripsi. Dengan pendekatan ini, malware berpotensi memperoleh material keamanan komunikasi. Cisco Talos menilai, salah satu bidang data yang dikumpulkan berkaitan dengan material kunci AES-256 untuk enkripsi koneksi data.
Pada jaringan perusahaan modern, kunci kriptografi memiliki fungsi penting perlindungan data yang dikirim. Ketika informasi kriptografi jatuh ke tangan penyerang, risiko penyalahgunaan komunikasi dapat meningkat. Dalam analisis KeyDrift, LittleFilch diketahui dirancang agar dapat mengumpulkan data terkait kunci dalam catatan data yang telah dienkripsi. Sistem pengumpulan tersebut dilengkapi fungsi komunikasi keluar untuk memindahkan informasi yang diperoleh. Namun demikian, peneliti belum dapat memastikan cakupan informasi yang telah keluar dari sistem.
Kelompok UAT 11473 Menargetkan Infrastruktur Bernilai Tinggi
Kelompok ancaman UAT-11473 dikategorikan sebagai advanced persistent threat atau APT, yaitu aktivitas penyerang dengan kemampuan tinggi. Dalam laporan keamanan yang diterbitkan, target serangan yang teridentifikasi mencakup organisasi yang bergerak dalam teknologi antariksa, pertahanan, teknologi kedirgantaraan, dan lembaga penelitian kebijakan. Lingkungan organisasi semacam ini dapat menyimpan informasi bernilai tinggi yang memerlukan pengamanan berlapis. Berdasarkan karakteristik target, penguasaan sistem kontrol komunikasi menimbulkan risiko yang perlu ditangani bagi organisasi terdampak.
Cisco Talos juga menemukan indikasi penggunaan jaringan pendukung yang sama antara UAT-11473 dan jaringan akses tersembunyi Silent Train yang memiliki keterkaitan pada analisis Volt Typhoon. Walaupun terdapat kesamaan infrastruktur, indikasi tersebut tidak dapat langsung diartikan sebagai kedua kelompok merupakan aktor yang sama. Tim investigasi perlu membedakan kesamaan infrastruktur dan penetapan identitas kelompok secara pasti. Dalam penelitian aktivitas APT, akurasi identifikasi aktor menjadi penting agar kesimpulan tidak melampaui bukti. Dengan demikian, perhatian tim keamanan perlu mencakup penutupan kerentanan.
Strategi Keamanan Jaringan untuk Mencegah Penyalahgunaan Akses
Menghadapi ancaman tersebut, prioritas utama adalah memastikan pembaruan keamanan diterapkan. Produsen perangkat jaringan tersebut merilis perbaikan keamanan bagi produk terdampak. Administrator jaringan sebaiknya mengevaluasi versi Cisco Catalyst SD-WAN yang beroperasi dalam organisasi. Jika perangkat belum memperoleh patch, migrasi menuju versi yang telah diperbaiki harus diprioritaskan. Tidak kalah penting, jalur pengelolaan perangkat sebaiknya dibatasi agar hanya dapat digunakan oleh sistem yang berwenang. Pendekatan perlindungan ini membantu mengurangi kemungkinan penyalahgunaan perangkat.
Di samping menutup kerentanan, organisasi juga perlu menjalankan investigasi indikator kompromi. Hal ini penting karena pemasangan patch tidak otomatis menghapus malware yang sebelumnya terpasang. Dalam rekomendasi keamanannya, Talos menekankan organisasi untuk memantau tanda aktivitas pascakompromi. Aktivitas peninjauan keamanan perlu mempertimbangkan log sistem, serta proses layanan yang tidak biasa. Apabila kompromi ditemukan, organisasi sebaiknya menerapkan mekanisme investigasi dan pemulihan. Untuk dukungan teknis, Cisco merekomendasikan koordinasi dengan Technical Assistance Center atau TAC agar proses pemeriksaan dapat dilakukan dengan tepat.
Perlindungan Kunci Enkripsi Menjadi Prioritas Keamanan Digital
Pengungkapan malware KeyDrift pada lingkungan Cisco SD-WAN menunjukkan tantangan keamanan komunikasi perusahaan. Berkat penyalahgunaan CVE-2026-20127, kelompok UAT-11473 teridentifikasi memiliki akses tidak sah pada sistem pengendali komunikasi. Pada tahap serangan berikutnya, penyerang menggunakan malware khusus yang memiliki kemampuan mengambil informasi kriptografi sensitif. Walaupun demikian, hasil akhir pengiriman informasi belum dapat dipastikan sepenuhnya. Laporan keamanan tersebut menunjukkan kebutuhan agar organisasi tidak hanya mengandalkan enkripsi.
Dalam perkembangan TEKNOLOGI, pengamanan jaringan SD-WAN tetap menjadi bagian mendasar dalam mempertahankan integritas sistem. Pemeliharaan sistem secara teratur harus didukung oleh pemeriksaan konfigurasi serta respons insiden yang terencana. Berkat pengelolaan yang tepat, organisasi dapat mengurangi dampak gangguan keamanan. Untuk profesional keamanan siber, kemampuan mengenali ancaman mendukung perlindungan yang lebih efektif. Apa pendapat Anda, apakah perlindungan komponen pengendali jaringan telah diterapkan secara memadai dalam menghadapi ancaman siber modern? Anda dapat berbagi pengalaman mengenai perlindungan jaringan perusahaan.
