สรุปสั้น

CVE-2026-20127 คือ ช่องโหว่ข้ามการยืนยันตัวตนคะแนน CVSS 10.0 ในระบบควบคุม Cisco Catalyst SD-WAN ที่ Cisco แพตช์ไปตั้งแต่เดือนกุมภาพันธ์ 2569 และถูกใช้โจมตีจริงมาแล้ว ล่าสุดเมื่อวันที่ 28 ตุลาคม 2569 ทีม Cisco Talos เปิดเผยว่ากลุ่มที่ตั้งชื่อว่า UAT-11473 ใช้ช่องโหว่นี้ฝังมัลแวร์ชื่อ KeyDrift ลงในตัวควบคุม SD-WAN (Controller และ Validator) ของเหยื่อ มัลแวร์แทรกตัวเข้าไปในโปรเซสที่ดูแลการแลกกุญแจ แล้วคัดลอกกุญแจ AES ที่ใช้เข้ารหัสทราฟฟิกระหว่างสาขาเก็บไว้ ผู้ที่ถือกุญแจเหล่านี้อาจถอดรหัสทราฟฟิกที่ดักได้ระหว่างไซต์ขององค์กร

Talos ประเมินด้วยความมั่นใจสูงว่าโครงสร้างพื้นฐานของ UAT-11473 “ทับซ้อนอย่างมาก” กับ Silent Train เครือข่ายอุปกรณ์ที่ถูกเจาะซึ่ง Volt Typhoon กลุ่มที่รัฐบาลสหรัฐฯ ระบุว่ารัฐจีนหนุนหลังใช้ซ่อนตัว แต่ Talos ไม่ได้บอกว่าเป็นกลุ่มเดียวกัน และไม่ระบุว่าการโจมตีเกิดเมื่อไรหรือกุญแจถูกส่งออกไปแล้วหรือไม่ องค์กรที่ใช้ Catalyst SD-WAN ควรอัปเกรดเป็นเวอร์ชันที่แก้แล้ว ตรวจหาไฟล์ของ KeyDrift บนตัวควบคุม และเปิดใช้กฎ Snort ชุดใหม่ เพราะการอัปเกรดอย่างเดียวไม่ได้ลบมัลแวร์ที่ฝังไว้ก่อนแล้ว

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 29 ตุลาคม 2569 ว่า Talos เรียกการโจมตีที่พบว่าเป็นเหตุการณ์ “ในอดีต” (historical) โดยไม่ระบุช่วงเวลา ตอนที่ Cisco เปิดเผย CVE-2026-20127 เมื่อเดือนกุมภาพันธ์ Talos ติดตามการใช้ช่องโหว่นี้ภายใต้ชื่อ UAT-8616 ซึ่งย้อนไปอย่างน้อยปี 2566 รายงานใหม่ไม่ได้อธิบายว่า UAT-11473 เกี่ยวข้องกับ UAT-8616 อย่างไร ส่วนเป้าหมายของ UAT-11473 เท่าที่ระบุ คือ ผู้ให้บริการด้านอวกาศและดาวเทียม เทคโนโลยีกลาโหมและอากาศยาน และสถาบันวิจัยนโยบาย

ในวันเดียวกัน Black Lotus Labs ของบริษัท Lumen รายงานแยกต่างหากว่า Volt Typhoon ใช้ CVE-2026-20127 มาตั้งแต่ปลายปี 2568 และยังใช้ต่อหลัง Cisco เปิดเผยช่องโหว่ (ดูรายละเอียดเครือข่าย Silent Train ใน 2026/10/321 ) แต่ Lumen ไม่ได้โยงกิจกรรมนั้นเข้ากับ KeyDrift ความเชื่อมโยงระหว่าง UAT-11473 กับ Volt Typhoon จึงมาจากโครงสร้างพื้นฐานที่ทับซ้อนเพียงอย่างเดียว

ข้อจำกัดของหลักฐานยังมีอีกหลายจุด Talos กู้ไฟล์ตั้งค่าที่บอกปลายทางการส่งข้อมูลไม่ได้ เพราะมัลแวร์ลบทิ้งหลังอ่าน รายงานไม่มีรายการแฮช IP หรือโดเมนของ KeyDrift และคำแนะนำของ Talos ไม่ได้บอกว่าควรเปลี่ยนกุญแจที่อาจรั่วหรือไม่ ด้านคู่มือแก้ไขของ Cisco เมื่อเดือนกุมภาพันธ์เตือนไว้แล้วว่าอาจมี exploit ที่ฝังค้างอยู่จากก่อนการอัปเกรด

Malware implanted in an SD-WAN controller copying encryption keys between branch routers

วิธีการโจมตี

เจาะผ่าน CVE-2026-20127 — ช่องโหว่นี้เปิดให้ผู้โจมตีจากระยะไกลที่ไม่ต้องล็อกอินข้ามการยืนยันตัวตนและได้สิทธิ์ผู้ดูแลบน Catalyst SD-WAN Controller (ชื่อเดิม vSmart), Manager (vManage) และ Validator (vBond) ไม่ว่าจะตั้งค่าแบบใด บน Controller ผู้โจมตีล็อกอินเป็นบัญชีภายในสิทธิ์สูงที่ไม่ใช่ root ได้ ช่องโหว่กระทบทั้งระบบ on-premises และบริการ SD-WAN แบบโฮสต์ของ Cisco รวมถึงสภาพแวดล้อม Cisco Managed และ FedRAMP

ฝังตัวผ่านสคริปต์เริ่มบริการ — อุปกรณ์ Cisco SD-WAN ใช้สคริปต์ runit เปิดบริการต่าง ๆ KeyDrift แก้สคริปต์ของบริการ SSH ใต้ /etc/sv/sshd/ ให้รันสคริปต์ loader ชื่อ conf_sshd ก่อนเซิร์ฟเวอร์ SSH ตัวจริง สคริปต์นี้เขียน process ID ของ vdaemon ลงไฟล์ จากนั้นเครื่องมือ rsshd ฉีดโมดูลหลัก PolyFlame เข้าไปในทุกโปรเซสเหล่านั้น บน Validator ผู้โจมตีสร้างบริการปลอมชื่อ aaamgr ใต้ /etc/sv/aaamgr/ ให้รัน loader ชื่อ aaamgrd ที่ถอดรหัสแล้วรัน PolyFlame ทั้งที่ aaamgr ของจริงเป็นแพ็กเกจ Python ไม่ได้รันเป็นบริการแบบคอมไพล์

PolyFlame แบ็กดอร์ในหน่วยความจำ — PolyFlame ทำงานในหน่วยความจำภายใน vdaemon ทำหน้าที่เป็นแบ็กดอร์คล้าย TinyShell ที่รันคำสั่งและอ่านเขียนไฟล์ได้ หรือเป็นตัวส่งต่อคำสั่งระหว่างเซิร์ฟเวอร์สั่งการกับเครื่องอื่น จุดที่ทำให้ตรวจยาก คือ มันรับคำสั่งที่ซ่อนมาในทราฟฟิกควบคุมของ SD-WAN เอง และตัวอย่างที่วิเคราะห์ไม่มีที่อยู่เซิร์ฟเวอร์ฝังไว้

LittleFilch ขโมยกุญแจเข้ารหัส — ในระบบแลกกุญแจแบบดั้งเดิมของ Cisco เราเตอร์แต่ละตัวสร้างกุญแจ AES ใหม่เป็นระยะแล้วส่งให้ Controller เพื่อกระจายต่อให้เราเตอร์อื่น vdaemon คือ โปรเซสที่ถือการเชื่อมต่อควบคุมที่เข้ารหัสซึ่งขนกุญแจเหล่านี้ คอมโพเนนต์ LittleFilch เกาะ vdaemon แล้วอ่านข้อความควบคุมหลังถอดรหัส สำหรับรายชื่อเราเตอร์ปลายทางที่กำหนดไว้ มันดึง IP กับฟิลด์ 32 ไบต์ที่ Talos ประเมินว่าเป็นวัตถุดิบกุญแจ AES-256 แล้วเข้ารหัสด้วย RSA เขียนลงไฟล์ และส่งออกทาง UDP ไปยังที่อยู่ในไฟล์ตั้งค่าที่ถูกลบหลังอ่าน

ลบร่องรอย — ผู้โจมตีทำ timestomping คือ คัดลอกเวลาแก้ไขและสิทธิ์ของไฟล์เดิมมาใส่ไฟล์ของตัวเอง เพื่อไม่ให้ไฟล์มัลแวร์ดูใหม่ผิดสังเกต

ร่องรอยที่ตรวจได้ — ไฟล์และตำแหน่งที่ Talos ระบุ ได้แก่ สคริปต์ใต้ /etc/sv/sshd/ ที่ถูกแก้ให้เรียก conf_sshd, ไดเรกทอรี /etc/sv/aaamgr/ บน Validator, ไฟล์ aaamgrd, conf_sshd, rsshd, libdssl.so (PolyFlame), libcommon.so (LittleFilch), /tmp/system-vdaemon, /var/tmp/vdaemon.bin (ข้อมูลกุญแจที่เข้ารหัสแล้ว) และ /var/tmp/vdaemon.conf (ถูกลบหลังอ่าน)

ผลกระทบ

กลุ่มที่เสี่ยงโดยตรง คือ องค์กรที่ใช้ Cisco Catalyst SD-WAN เชื่อมสาขา โดยเฉพาะภาคอวกาศ กลาโหม และสถาบันวิจัยนโยบายที่ UAT-11473 เล็ง ผลลัพธ์ของ KeyDrift ร้ายแรงกว่าการเจาะเครื่องทั่วไป เพราะผู้ที่ได้กุญแจ AES ระหว่างสาขาไปพร้อมกับทราฟฟิกที่ดักไว้อาจถอดรหัสข้อมูลที่วิ่งระหว่างไซต์ได้ โดยที่การเข้ารหัสยังดูปกติดีจากมุมมองผู้ดูแล

ความเร่งด่วนสูงเพราะหลายสายเวอร์ชัน (ก่อน 20.9, 20.11, 20.13, 20.14 และ 20.16) หมดระยะดูแลแล้ว ต้องย้ายไปสายที่แก้แล้ว และการอัปเกรดไม่ได้รับประกันว่ามัลแวร์ที่ฝังไว้ก่อนจะหายไป องค์กรที่เคยเปิดพอร์ตจัดการของตัวควบคุมสู่อินเทอร์เน็ตช่วงก่อนแพตช์ควรถือว่าอาจถูกเจาะแล้ว

คำแนะนำ

  • อัปเกรด Controller, Manager และ Validator เป็นเวอร์ชันแรกที่แก้แล้วทันที: 20.9.8.2, 20.12.5.3 หรือ 20.12.6.1, 20.15.4.2 หรือ 20.18.2.1 (สาย 20.11 ไป 20.12.6.1, สาย 20.13/20.14 ไป 20.15.4.2, สาย 20.16 ไป 20.18.2.1 และเวอร์ชันก่อน 20.9 ต้องย้ายสาย)
  • ระหว่างรออัปเกรด ระบบ on-premises ให้จำกัดการเข้าพอร์ต 22 และ 830 เฉพาะ IP ของตัวควบคุมและระบบที่รู้จัก (Cisco ระบุว่าได้ผลในห้องทดสอบ แต่ควรทดสอบกับเครือข่ายจริง และวิธีนี้ไม่ลบมัลแวร์ที่ฝังแล้ว)
  • ตรวจไฟล์และตำแหน่งที่ระบุในหัวข้อวิธีการโจมตีบนตัวควบคุมทุกตัว และตรวจ /var/log/auth.log หารายการ Accepted publickey for vmanage-admin จาก IP ที่ไม่รู้จัก
  • เปิดใช้กฎ Snort 2 หมายเลข 67387-67416 (ค่าเริ่มต้นปิดอยู่ใน Snort Subscriber rule set) หรือกฎ Snort 3 หมายเลข 7:44-7:73 สำหรับตรวจการเชื่อมต่อสั่งการของ KeyDrift ร่วมกับกฎ 65938 และ 65958 ที่ตรวจตัวช่องโหว่
  • รัน request admin-tech บนคอมโพเนนต์ควบคุมทุกตัว แล้วสแกนไฟล์ผลลัพธ์ด้วย Check Bug Applicability ของบั๊ก CSCws52722 ก่อนเปิดเคส TAC
  • หากพบร่องรอย ให้เริ่มกระบวนการรับมือเหตุการณ์ พิจารณาติดตั้งตัวควบคุมใหม่จากอิมเมจที่แพตช์แล้วแล้วย้ายเราเตอร์ไปเชื่อมกับระบบใหม่ ตามแนวทาง ED 26-03 ของ CISA และพิจารณาบังคับเปลี่ยนกุญแจเข้ารหัสระหว่างสาขา
  • ทำตามคู่มือ hardening ของ Catalyst SD-WAN เพื่อลดพื้นผิวการโจมตีระยะยาว

แหล่งอ้างอิง