Cisco SD-WAN est touché par CVE-2026-20127, une faille notée 10 sur 10 en CVSS qui permet à un attaquant non authentifié de prendre le contrôle des contrôleurs, gestionnaires et validateurs de cette solution de réseau étendu défini par logiciel. Selon un rapport de Cisco Talos publié le 28 octobre 2026 et relayé par The Hacker News, cette faille sert depuis fin 2025 à déployer KeyDrift, un logiciel malveillant qui copie les clés chiffrant le trafic entre les sites raccordés par Cisco SD-WAN.
Qu'est-ce que Cisco SD-WAN et que permet CVE-2026-20127 ?
Cisco SD-WAN désigne la gamme de contrôleurs, gestionnaires et validateurs que Cisco commercialisait auparavant sous les noms vSmart, vManage et vBond. Elle orchestre les connexions chiffrées entre les sites d'une même organisation sur un réseau étendu défini par logiciel. CVE-2026-20127 touche le Catalyst SD-WAN Controller, le Catalyst SD-WAN Manager et le Catalyst SD-WAN Validator, sur les déploiements sur site comme sur les environnements hébergés par Cisco, y compris FedRAMP.
La faille permet à un attaquant distant sans identifiants de se connecter comme un compte interne à privilèges élevés sur un contrôleur. Cisco l'a divulguée en février 2026, mais selon les Black Lotus Labs de Lumen Technologies, le groupe Volt Typhoon l'exploitait déjà depuis la fin 2025.
| Branche de version | État | Premier correctif |
|---|---|---|
| Antérieure à 20.9 | Fin de maintenance | Migrer vers une branche corrigée |
| 20.9 | Supportée | 20.9.8.2 |
| 20.11 / 20.12 | 20.11 en fin de maintenance | 20.12.5.3 ou 20.12.6.1 |
| 20.13 à 20.15 | 20.13 et 20.14 en fin de maintenance | 20.15.4.2 |
| 20.16 / 20.18 | 20.16 en fin de maintenance | 20.18.2.1 |
Comment fonctionne le malware KeyDrift
Talos décrit KeyDrift comme un outil conçu pour copier les clés qui chiffrent le trafic entre les sites raccordés par Cisco SD-WAN, puis les conserver pour un usage ultérieur. Le rapport ne précise ni la date exacte des attaques ni si des clés ont réellement été exfiltrées vers l'extérieur.
Un premier module, surnommé LittleFilch par les chercheurs, s'accroche au processus vdaemon d'un contrôleur compromis pour lire les messages de contrôle une fois déchiffrés. Il recueille les adresses IP des routeurs raccordés ainsi qu'un champ de 32 octets que Talos évalue comme du matériel de clé AES-256, le chiffre en RSA, puis peut l'envoyer en UDP vers une adresse qu'il efface ensuite d'un fichier de configuration.
Un second module, PolyFlame, s'exécute en mémoire dans le même processus et peut servir de porte dérobée ou de relais, en acceptant des commandes glissées dans le trafic de contrôle SD-WAN lui-même. La persistance passe par des scripts de service modifiés : un chargeur imite le démarrage du service SSH, un autre injecte PolyFlame dans vdaemon. Les fichiers déposés reprennent les dates et permissions de fichiers légitimes existants, une technique d'évasion courante contre les analyses superficielles.
Qui exploite cette faille ?
Talos attribue l'opération KeyDrift à un groupe qu'il suit sous le nom UAT-11473, déjà observé contre des organisations des secteurs spatial, de la défense et de la recherche en politiques publiques. Lors de la divulgation de la faille en février 2026, Talos avait suivi une exploitation distincte sous le nom UAT-8616, active depuis 2023, sans préciser le lien entre les deux groupes.
Selon Talos, l'infrastructure d'UAT-11473 recoupe largement Silent Train, un réseau d'appareils compromis documenté par les Black Lotus Labs de Lumen Technologies. Lumen relie Silent Train à Volt Typhoon, groupe que la CISA, la NSA et le FBI ont qualifié en 2024 de parrainé par l'État chinois. Talos ne confirme toutefois pas que KeyDrift et Volt Typhoon sont un seul et même acteur : un recoupement d'infrastructure ne vaut pas identité confirmée.
Comment se protéger ?
Aucun contournement ne supprime la faille elle-même : seule la mise à jour vers une version corrigée protège les contrôleurs, gestionnaires et validateurs Cisco SD-WAN. Les versions antérieures à 20.9 ainsi que les branches 20.11, 20.13, 20.14 et 20.16 ont atteint la fin de leur maintenance logicielle et doivent être migrées vers une branche encore supportée avant toute autre mesure.
- En attendant le correctif, limitez l'accès aux ports 22 et 830 aux seules adresses IP des contrôleurs et systèmes de gestion légitimes : Cisco indique que cette mesure a fonctionné dans ses tests, à vérifier dans votre propre réseau. Elle ne retire pas un implant déjà présent.
- Suivez le guide de durcissement Catalyst SD-WAN publié par Cisco et surveillez toute activité post-compromission sur les équipements concernés.
- Recherchez dans les journaux d'authentification des connexions acceptées par clé publique pour le compte « vmanage-admin » depuis une adresse IP qui ne figure pas dans votre inventaire.
- En cas de compromission confirmée, ouvrez un dossier auprès du support Cisco TAC ; les organismes fédéraux américains doivent en outre appliquer la directive d'urgence ED 26-03, qui impose de redéployer des instances neuves à partir d'images corrigées.
Comme pour l'implant déployé via une autre faille critique Fortinet (voir notre article sur la faille Fortinet CVE-2025-61624 et l'implant PEERSTITCH), le simple déploiement du correctif ne garantit pas qu'aucune porte dérobée ne subsiste sur un équipement déjà compromis. Cisco SD-WAN Manager avait par ailleurs fait l'objet d'une faille critique distincte début octobre 2026 (voir notre article sur CVE-2026-76504), signe que la surface d'attaque de cette plateforme reste scrutée de près. Pour suivre la gravité de ce type de faille, notre calculateur de score CVSS et notre base de données CVE permettent de prioriser rapidement vos correctifs.
L'avis du CSIRT
Face à une faille notée 10 sur 10 et déjà exploitée depuis plus d'un an, la priorité absolue va aux contrôleurs, gestionnaires et validateurs Cisco SD-WAN exposés sur Internet ou accessibles depuis un réseau non maîtrisé : ce sont eux qui doivent être corrigés aujourd'hui, pas dans le cycle de maintenance habituel. Les équipements uniquement accessibles depuis un réseau de gestion interne déjà filtré sur les ports 22 et 830 peuvent être planifiés, sans attendre indéfiniment pour autant.
Côté détection, ne cherchez pas uniquement une signature de KeyDrift : cherchez des comportements. Des connexions SSH acceptées pour un compte de gestion depuis une IP absente de votre inventaire, des scripts de démarrage de service modifiés, ou un processus système qui charge une bibliothèque partagée inattendue sont plus révélateurs qu'un hachage de fichier, que les attaquants changent facilement d'une intrusion à l'autre.
Le piège le plus fréquent sur ce type de faille : corriger la version du logiciel et considérer l'incident clos. Une mise à jour ne retire pas un implant déjà en place sur un système compromis. Après tout correctif sur un équipement qui a pu être exposé pendant la fenêtre d'exploitation, vérifiez l'absence des fichiers et tâches de persistance documentés par Talos, et envisagez la rotation des clés qui chiffraient le trafic SD-WAN si une compromission ne peut être exclue.
Points clés
Cisco SD-WAN est touché par CVE-2026-20127 (CVSS 10 sur 10), une faille d'authentification exploitée depuis fin 2025 par un groupe que Talos suit sous le nom UAT-11473 pour déployer KeyDrift, un malware qui copie les clés de chiffrement du trafic entre sites. Aucun contournement ne remplace le correctif, et les versions antérieures à 20.9 ainsi que plusieurs branches intermédiaires ont atteint la fin de leur maintenance. Corrigez en priorité les équipements exposés, recherchez les signes d'accès non autorisés dans les journaux d'authentification, et ne considérez pas la mise à jour seule comme suffisante si une compromission reste possible.