Ancaman keamanan siber kembali menjadi perhatian setelah Cisco Talos mengungkap aktivitas kelompok penyerang yang mengeksploitasi celah kritis pada sistem Cisco Catalyst SD-WAN. Dalam laporan yang diterbitkan pada 28 Oktober 2026, peneliti menemukan malware khusus bernama KeyDrift yang dirancang untuk mengumpulkan informasi kunci enkripsi jaringan. Serangan tersebut memanfaatkan kerentanan CVE-2026-20127 yang memiliki tingkat keparahan maksimum 10,0. Perkembangan teknologi serangan ini menjadi peringatan bagi organisasi yang mengandalkan jaringan SD-WAN untuk menghubungkan berbagai kantor dan pusat data. Meski kemampuan pencurian kunci telah teridentifikasi, keberhasilan pengiriman seluruh data yang dikumpulkan belum dapat dipastikan.
Cisco Talos Mengungkap Serangan terhadap Infrastruktur SD WAN
Penemuan aktivitas berbahaya pada Cisco Catalyst SD-WAN menandai peringatan penting bagi pengelola jaringan perusahaan. Berdasarkan analisis keamanan, Cisco Talos mengidentifikasi kelompok ancaman yang dikenal dengan kode UAT-11473. Kelompok tersebut diketahui menggunakan kerentanan CVE-2026-20127 untuk menembus mekanisme autentikasi pada infrastruktur Cisco Catalyst SD-WAN. Setelah memperoleh akses, penyerang menjalankan malware khusus bernama KeyDrift yang dikembangkan guna mengambil material kunci enkripsi. Serangan tersebut memperlihatkan bahwa perangkat pengendali jaringan memerlukan perlindungan khusus.
Masalah autentikasi yang dieksploitasi telah memiliki perbaikan keamanan dari Cisco pada Februari 2026. Walaupun pembaruan telah tersedia, temuan terbaru mengungkapkan aktivitas eksploitasi historis. Tim peneliti keamanan menyampaikan bahwa UAT-11473 menggunakan kelemahan autentikasi untuk menjalankan komponen malware. Temuan keamanan ini tidak berarti bahwa setiap perangkat terdampak mengalami kompromi. Risiko aktual bergantung pada versi perangkat lunak, serta indikator kompromi yang ditemukan. Sebagai tindakan pencegahan, organisasi disarankan memeriksa status keamanan perangkat.
Celah Autentikasi Cisco SD WAN Memiliki Tingkat Keparahan Maksimum
CVE-2026-20127 merupakan kerentanan yang memungkinkan pelewatan verifikasi akses. Dalam pengertian umum, kelemahan ini berpotensi memungkinkan penyerang jarak jauh tanpa autentikasi untuk memperoleh hak akses tinggi pada sistem yang belum memperoleh perbaikan. Penilaian keamanan mencatat skor CVSS 10,0 yang merupakan tingkat tertinggi dalam klasifikasi kelemahan perangkat lunak. Komponen yang terdampak mencakup Cisco Catalyst SD-WAN Controller, Manager, dan Validator sesuai pengumuman kerentanan resmi. Jika akses administratif disalahgunakan, penyerang berpotensi memanipulasi pengaturan komunikasi internal.
Dampak dari kelemahan tersebut memerlukan perhatian khusus karena SD-WAN digunakan untuk menghubungkan berbagai kantor perusahaan. Melalui sistem konektivitas tersebut, komponen Controller memiliki peran penting dalam pengelolaan hubungan antarsitus. Jika sistem pusat tersebut berhasil diakses penyerang, data kendali komunikasi berpotensi terekspos. Berdasarkan temuan peneliti, penyerang juga menargetkan informasi lebih sensitif, melainkan menggunakan malware yang berinteraksi dengan proses internal. Metode serangan semacam ini menunjukkan pentingnya perlindungan berlapis.
Cara Kerja LittleFilch dalam Mengumpulkan Informasi Sensitif
Aspek yang menjadi perhatian khusus Cisco Talos adalah keberadaan KeyDrift, yaitu kerangka malware khusus untuk perangkat yang mengelola komunikasi SD-WAN. Perangkat lunak berbahaya tersebut memiliki beberapa komponen yang digunakan untuk pemeliharaan akses ilegal. Bagian penting dari KeyDrift dikenal sebagai LittleFilch yang dirancang untuk membaca data komunikasi setelah didekripsi. Dengan pendekatan ini, malware mampu mengekstraksi data yang digunakan untuk perlindungan koneksi. Cisco Talos menilai, salah satu bidang data yang dikumpulkan diduga merupakan material kunci AES-256 untuk perlindungan lalu lintas jaringan.
Pada jaringan perusahaan modern, informasi pengamanan koneksi dibutuhkan untuk mendukung kerahasiaan lalu lintas. Apabila material tersebut bocor, risiko penyalahgunaan komunikasi menjadi lebih serius. Pada penelitian malware tersebut, LittleFilch ditemukan memiliki fungsi untuk mengumpulkan data terkait kunci dalam penyimpanan lokal yang dilindungi. Kerangka berbahaya ini menyediakan mekanisme pemindahan informasi untuk memindahkan informasi yang diperoleh. Namun demikian, peneliti masih belum mengonfirmasi cakupan informasi yang telah keluar dari sistem.
Cisco Talos Mengidentifikasi Aktivitas Penyerang yang Terorganisasi
Pelaku di balik aktivitas KeyDrift dilacak dalam kelompok advanced persistent threat atau APT, yaitu aktivitas penyerang dengan kemampuan tinggi. Menurut hasil investigasi perusahaan, sasaran yang diamati mencakup industri ruang angkasa serta komunikasi satelit, pertahanan, teknologi kedirgantaraan, dan organisasi riset strategis. Lingkungan organisasi semacam ini sering mengelola komunikasi penting yang harus dijaga kerahasiaannya. Dengan kondisi tersebut, penguasaan sistem kontrol komunikasi menimbulkan risiko yang perlu ditangani bagi organisasi terdampak.
Dalam investigasi tambahan, Talos mengidentifikasi indikasi penggunaan jaringan pendukung yang sama antara UAT-11473 dan jaringan akses tersembunyi Silent Train yang memiliki keterkaitan pada analisis Volt Typhoon. Meski peneliti melihat hubungan teknis, indikasi tersebut tidak dapat langsung diartikan sebagai semua operasi dilakukan organisasi identik. Analis ancaman perlu membedakan indikator teknis yang beririsan dan pembuktian atribusi serangan. Dalam konteks keamanan siber, kehati-hatian dalam menentukan pelaku memiliki nilai besar agar analisis tidak menghasilkan tuduhan tanpa dasar. Berdasarkan prinsip investigasi, fokus utama organisasi dapat difokuskan kepada penguatan perlindungan jaringan.
Cara Melindungi Cisco SD WAN dari Eksploitasi dan Malware
Menghadapi ancaman tersebut, langkah paling penting adalah menggunakan versi perangkat lunak yang telah diperbaiki. Produsen perangkat jaringan tersebut merilis versi perangkat lunak yang menutup kerentanan. Tim keamanan perusahaan disarankan meninjau versi Cisco Catalyst SD-WAN yang beroperasi dalam organisasi. Apabila ditemukan versi rentan, migrasi menuju versi yang telah diperbaiki harus diprioritaskan. Sebagai pengamanan tambahan, akses administrasi sebaiknya dibatasi agar hanya dapat digunakan oleh sistem yang berwenang. Kombinasi tindakan tersebut berpotensi menekan peluang eksploitasi.
Di samping menutup kerentanan, organisasi disarankan melakukan pemantauan keamanan lanjutan. Hal ini penting karena penyerang mungkin telah masuk sebelum pembaruan. Cisco Talos menyarankan organisasi untuk mencari indikator serangan lanjutan. Pemeriksaan tersebut dapat mencakup rekaman komunikasi jaringan, serta indikator perangkat lunak mencurigakan. Ketika bukti serangan muncul, organisasi sebaiknya menerapkan prosedur respons insiden. Untuk dukungan teknis, Cisco merekomendasikan koordinasi dengan Technical Assistance Center atau TAC agar proses pemeriksaan dapat dilakukan dengan tepat.
Perlindungan Kunci Enkripsi Menjadi Prioritas Keamanan Digital
Penemuan malware KeyDrift pada lingkungan Cisco SD-WAN memperlihatkan pentingnya perlindungan infrastruktur jaringan. Berkat penyalahgunaan CVE-2026-20127, kelompok UAT-11473 berhasil memperoleh akses tidak sah pada sistem pengendali komunikasi. Dalam aktivitas lanjutan, penyerang menjalankan malware khusus yang dirancang mengumpulkan data pengamanan komunikasi. Walaupun demikian, hasil akhir pengiriman informasi belum dikonfirmasi secara menyeluruh. Laporan keamanan tersebut memberikan pelajaran penting agar organisasi tidak hanya mengandalkan enkripsi.
Seiring meningkatnya kompleksitas ancaman digital, pengamanan jaringan SD-WAN merupakan kebutuhan utama dalam menjaga kelangsungan bisnis. Pemeliharaan sistem secara teratur perlu dikombinasikan dengan pemeriksaan konfigurasi serta prosedur pemulihan yang jelas. Berkat pengelolaan yang tepat, organisasi dapat mengurangi dampak gangguan keamanan. Bagi administrator jaringan, kemampuan mengenali ancaman mendukung perlindungan yang lebih efektif. Apa pendapat Anda, apakah pembaruan sistem secara rutin telah diterapkan secara memadai dalam menjaga keamanan komunikasi bisnis? Anda dapat berbagi pengalaman mengenai pentingnya pengelolaan risiko siber.
