Ancaman keamanan siber kembali menjadi perhatian setelah Cisco Talos mengungkap aktivitas kelompok penyerang yang mengeksploitasi celah kritis pada sistem Cisco Catalyst SD-WAN. Dalam laporan yang diterbitkan pada 28 Oktober 2026, peneliti menemukan malware khusus bernama KeyDrift yang dirancang untuk mengumpulkan informasi kunci enkripsi jaringan. Serangan tersebut memanfaatkan kerentanan CVE-2026-20127 yang memiliki tingkat keparahan maksimum 10,0. Perkembangan teknologi serangan ini menjadi peringatan bagi organisasi yang mengandalkan jaringan SD-WAN untuk menghubungkan berbagai kantor dan pusat data. Meski kemampuan pencurian kunci telah teridentifikasi, keberhasilan pengiriman seluruh data yang dikumpulkan belum dapat dipastikan.
Celah Kritis Cisco SD WAN Menjadi Target Kelompok Penyerang
Identifikasi aktivitas berbahaya pada Cisco Catalyst SD-WAN menandai perhatian serius bagi profesional keamanan informasi. Dalam investigasi yang dipublikasikan, Cisco Talos mengidentifikasi kelompok ancaman yang dikenal dengan kode UAT-11473. Pelaku yang diamati diketahui menggunakan kerentanan CVE-2026-20127 untuk memperoleh akses tidak sah pada infrastruktur Cisco Catalyst SD-WAN. Sesudah berhasil memasuki sistem, penyerang menjalankan malware khusus bernama KeyDrift yang dikembangkan guna mengambil material kunci enkripsi. Operasi berbahaya tersebut memperlihatkan bahwa infrastruktur komunikasi perusahaan dapat menjadi sasaran bernilai tinggi.
Masalah autentikasi yang dieksploitasi sebenarnya telah memperoleh perbaikan keamanan dari Cisco pada Februari 2026. Meski perusahaan sudah merilis patch, temuan terbaru memperlihatkan aktivitas eksploitasi historis. Cisco Talos menjelaskan bahwa UAT-11473 menggunakan kelemahan autentikasi untuk mempertahankan akses ke sistem. Hasil penelitian itu belum membuktikan bahwa semua pengguna mengalami pencurian data. Tingkat paparan organisasi bergantung pada riwayat pembaruan, serta hasil pemeriksaan keamanan. Dengan mempertimbangkan kondisi tersebut, organisasi sebaiknya mengevaluasi status keamanan perangkat.
Celah Autentikasi Cisco SD WAN Memiliki Tingkat Keparahan Maksimum
Celah keamanan pada sistem Cisco tersebut dikategorikan sebagai masalah keamanan pada pemeriksaan identitas. Secara sederhana, kelemahan ini membuka kemungkinan bagi penyerang jarak jauh tanpa autentikasi untuk mendapatkan kewenangan administratif pada sistem yang belum memperoleh perbaikan. Kerentanan ini memperoleh skor CVSS 10,0 yang menggambarkan tingkat keparahan maksimum dalam klasifikasi kelemahan perangkat lunak. Perangkat yang termasuk dalam cakupan mencakup Cisco Catalyst SD-WAN Controller, Manager, dan Validator sesuai cakupan produk dalam advisori. Apabila sistem kontrol mengalami kompromi, penyerang berpotensi memanipulasi hubungan antarkomponen.
Dampak dari kelemahan tersebut memiliki tingkat bahaya tinggi karena SD-WAN berfungsi mengintegrasikan cabang dan pusat data. Pada lingkungan jaringan semacam ini, komponen Controller menjalankan fungsi utama dalam pengelolaan hubungan antarsitus. Apabila komponen ini disusupi, data kendali komunikasi berpotensi terekspos. Berdasarkan temuan peneliti, penyerang tidak hanya berusaha memperoleh akses, melainkan menggunakan malware yang berinteraksi dengan proses internal. Pendekatan tersebut menunjukkan pentingnya perlindungan berlapis.
Teknologi Malware Khusus Mengancam Perlindungan Komunikasi SD WAN
Salah satu temuan paling penting Cisco Talos adalah keberadaan KeyDrift, yaitu sistem malware yang dikembangkan secara spesifik untuk perangkat yang mengelola komunikasi SD-WAN. Malware tersebut menggabungkan berbagai fungsi yang digunakan untuk pemantauan komunikasi internal. Modul yang menjadi perhatian dikenal sebagai LittleFilch yang memiliki kemampuan memeriksa pesan internal yang telah melewati proses dekripsi. Berkat akses terhadap data internal, malware berpotensi memperoleh data yang digunakan untuk perlindungan koneksi. Menurut analisis peneliti, salah satu bidang data yang dikumpulkan dinilai sebagai material kunci AES-256 untuk perlindungan lalu lintas jaringan.
Dalam sistem komunikasi yang aman, material kunci enkripsi berperan sebagai komponen utama keamanan komunikasi jaringan. Ketika informasi kriptografi jatuh ke tangan penyerang, risiko penyalahgunaan komunikasi dapat meningkat. Berdasarkan temuan Cisco Talos, LittleFilch ditemukan memiliki fungsi untuk menyimpan hasil pengambilan informasi dalam catatan data yang telah dienkripsi. Sistem pengumpulan tersebut dilengkapi kemampuan pengiriman data untuk memindahkan informasi yang diperoleh. Namun demikian, peneliti belum dapat memastikan cakupan informasi yang telah keluar dari sistem.
Serangan Cisco SD WAN Berkaitan dengan Ancaman Siber Tingkat Lanjut
Aktor serangan yang diidentifikasi Talos dikategorikan sebagai advanced persistent threat atau APT, yaitu aktivitas penyerang dengan kemampuan tinggi. Berdasarkan penelitian Cisco Talos, target serangan yang teridentifikasi mencakup layanan antariksa dan satelit, pertahanan, teknologi kedirgantaraan, dan organisasi riset strategis. Lingkungan organisasi semacam ini sering mengelola komunikasi penting yang membutuhkan perlindungan kuat. Berdasarkan karakteristik target, pengumpulan informasi jaringan menjadi ancaman serius bagi tim keamanan perusahaan.
Cisco Talos juga menemukan hubungan karakteristik infrastruktur antara UAT-11473 dan jaringan akses tersembunyi Silent Train yang berhubungan dengan Volt Typhoon. Meski peneliti melihat hubungan teknis, indikasi tersebut tidak dapat langsung diartikan sebagai seluruh serangan berasal dari kelompok yang sama. Tim investigasi harus memisahkan kesamaan infrastruktur dan identifikasi pelaku secara definitif. Dalam penelitian aktivitas APT, kehati-hatian dalam menentukan pelaku perlu diprioritaskan agar analisis tidak menghasilkan tuduhan tanpa dasar. Berdasarkan prinsip investigasi, perhatian tim keamanan perlu mencakup penguatan perlindungan jaringan.
Strategi Keamanan Jaringan untuk Mencegah Penyalahgunaan Akses
Untuk mengurangi risiko eksploitasi, prioritas utama adalah memasang patch yang sesuai. Pihak pengembang sistem telah menghadirkan pembaruan untuk CVE-2026-20127. Administrator jaringan disarankan meninjau versi Cisco Catalyst SD-WAN yang sedang digunakan. Apabila ditemukan versi rentan, migrasi menuju versi yang telah diperbaiki perlu segera dijadwalkan. Selain itu, jalur pengelolaan perangkat harus diperketat agar hanya dapat digunakan oleh sistem yang berwenang. Kombinasi tindakan tersebut dapat membatasi risiko akses tidak sah.
Di samping menutup kerentanan, organisasi juga perlu menjalankan pemantauan keamanan lanjutan. Langkah tersebut diperlukan karena penyerang mungkin telah masuk sebelum pembaruan. Peneliti Cisco mengimbau organisasi untuk mencari indikator serangan lanjutan. Aktivitas peninjauan keamanan dapat mencakup perubahan konfigurasi yang tidak dikenal, serta indikator perangkat lunak mencurigakan. Jika teridentifikasi aktivitas tidak sah, organisasi perlu mengaktifkan rencana penanganan keamanan. Untuk dukungan teknis, Cisco menyarankan menghubungi Technical Assistance Center atau TAC agar penanganan teknis sesuai karakteristik sistem.
Ancaman KeyDrift Menjadi Peringatan bagi Infrastruktur Perusahaan
Penemuan malware KeyDrift pada lingkungan Cisco SD-WAN menegaskan pentingnya perlindungan infrastruktur jaringan. Berkat penyalahgunaan CVE-2026-20127, kelompok UAT-11473 berhasil memperoleh akses tidak sah pada sistem pengendali komunikasi. Pada tahap serangan berikutnya, penyerang memasang malware khusus yang ditujukan untuk memperoleh informasi kriptografi sensitif. Kendati kemampuan malware teridentifikasi, hasil akhir pengiriman informasi belum dapat dipastikan sepenuhnya. Laporan keamanan tersebut menjadi pengingat agar perusahaan menerapkan perlindungan berlapis.
Seiring meningkatnya kompleksitas ancaman digital, pengelolaan keamanan sistem terdistribusi merupakan kebutuhan utama dalam menjaga kelangsungan bisnis. Pembaruan perangkat lunak sebaiknya disertai pemeriksaan konfigurasi serta prosedur pemulihan yang jelas. Melalui langkah tersebut, organisasi dapat mengurangi risiko serangan lanjutan. Untuk profesional keamanan siber, pemahaman terhadap pola serangan menjadi bekal utama. Apa pendapat Anda, apakah pembaruan sistem secara rutin sudah menjadi prioritas perusahaan dalam melindungi infrastruktur digital? Silakan bagikan pendapat Anda mengenai keamanan Cisco SD-WAN.
