Ancaman keamanan siber kembali menjadi perhatian setelah Cisco Talos mengungkap aktivitas kelompok penyerang yang mengeksploitasi celah kritis pada sistem Cisco Catalyst SD-WAN. Dalam laporan yang diterbitkan pada 28 Oktober 2026, peneliti menemukan malware khusus bernama KeyDrift yang dirancang untuk mengumpulkan informasi kunci enkripsi jaringan. Serangan tersebut memanfaatkan kerentanan CVE-2026-20127 yang memiliki tingkat keparahan maksimum 10,0. Perkembangan teknologi serangan ini menjadi peringatan bagi organisasi yang mengandalkan jaringan SD-WAN untuk menghubungkan berbagai kantor dan pusat data. Meski kemampuan pencurian kunci telah teridentifikasi, keberhasilan pengiriman seluruh data yang dikumpulkan belum dapat dipastikan.
Celah Kritis Cisco SD WAN Menjadi Target Kelompok Penyerang
Identifikasi aktivitas berbahaya pada Cisco Catalyst SD-WAN menandai peringatan penting bagi profesional keamanan informasi. Dalam investigasi yang dipublikasikan, Cisco Talos mengungkap kelompok ancaman yang diberi identitas UAT-11473. Pelaku yang diamati teridentifikasi mengeksploitasi kerentanan CVE-2026-20127 untuk menembus mekanisme autentikasi pada komponen pengelolaan jaringan. Sesudah berhasil memasuki sistem, penyerang memasang malware khusus bernama KeyDrift yang dikembangkan guna memantau data komunikasi internal. Operasi berbahaya tersebut menggambarkan bahwa sistem manajemen konektivitas dapat menjadi sasaran bernilai tinggi.
Celah keamanan tersebut telah memiliki perbaikan keamanan dari Cisco pada Februari 2026. Namun demikian, temuan terbaru mengungkapkan adanya serangan yang berlangsung sebelumnya. Tim peneliti keamanan menyampaikan bahwa UAT-11473 memanfaatkan kelemahan autentikasi untuk menjalankan komponen malware. Hasil penelitian itu tidak menunjukkan secara otomatis bahwa seluruh instalasi Cisco SD-WAN telah diretas. Kondisi keamanan masing-masing jaringan perlu dinilai melalui konfigurasi akses, serta indikator kompromi yang ditemukan. Oleh karena itu, organisasi sebaiknya mengevaluasi status keamanan perangkat.
Memahami Risiko Keamanan pada Cisco Catalyst SD WAN Controller
Kerentanan yang menjadi pusat serangan tergolong sebagai masalah keamanan pada pemeriksaan identitas. Secara sederhana, kelemahan ini membuka kemungkinan bagi penyerang jarak jauh tanpa autentikasi untuk memasuki komponen pengendali pada sistem yang masih rentan. Penilaian keamanan mencatat skor CVSS 10,0 yang menunjukkan kategori kritis dalam sistem penilaian kerentanan. Komponen yang terdampak mencakup Cisco Catalyst SD-WAN Controller, Manager, dan Validator sesuai informasi keamanan Cisco. Jika akses administratif disalahgunakan, penyerang dapat mengubah pengaturan komunikasi internal.
Konsekuensi penyalahgunaan akses menjadi serius karena SD-WAN berfungsi mengintegrasikan lokasi operasional organisasi. Melalui sistem konektivitas tersebut, komponen Controller memiliki peran penting dalam pengelolaan hubungan antarsitus. Jika sistem pusat tersebut berhasil diakses penyerang, material keamanan koneksi memiliki risiko penyalahgunaan. Berdasarkan temuan peneliti, penyerang juga menargetkan informasi lebih sensitif, melainkan menempatkan malware yang memantau komunikasi pengendali. Kemampuan ini menunjukkan pentingnya perlindungan berlapis.
Teknologi Malware Khusus Mengancam Perlindungan Komunikasi SD WAN
Salah satu temuan paling penting Cisco Talos adalah keberadaan KeyDrift, yaitu rangkaian perangkat lunak berbahaya untuk infrastruktur kontrol jaringan. Perangkat lunak berbahaya tersebut menggabungkan berbagai fungsi yang mendukung pengumpulan informasi sensitif. Bagian penting dari KeyDrift dikenal sebagai LittleFilch yang berfungsi mengamati data komunikasi setelah didekripsi. Dengan pendekatan ini, malware berpotensi memperoleh material keamanan komunikasi. Berdasarkan pemeriksaan teknis, salah satu bidang data yang dikumpulkan diduga merupakan material kunci AES-256 untuk perlindungan lalu lintas jaringan.
Dalam sistem komunikasi yang aman, kunci kriptografi dibutuhkan untuk mendukung kerahasiaan lalu lintas. Jika kunci enkripsi berhasil diperoleh pihak tidak sah, risiko penyalahgunaan komunikasi dapat meningkat. Berdasarkan temuan Cisco Talos, LittleFilch ditemukan memiliki fungsi untuk mengumpulkan data terkait kunci dalam catatan data yang telah dienkripsi. Kerangka berbahaya ini menyediakan kemampuan pengiriman data untuk mengirimkan material hasil pemantauan. Meski mekanisme tersebut teridentifikasi, peneliti tidak berhasil membuktikan sepenuhnya keberhasilan pengiriman kunci ke penyerang.
Kelompok UAT 11473 Menargetkan Infrastruktur Bernilai Tinggi
Kelompok ancaman UAT-11473 dilacak dalam kelompok advanced persistent threat atau APT, yaitu ancaman siber terorganisasi. Dalam laporan keamanan yang diterbitkan, target serangan yang teridentifikasi mencakup industri ruang angkasa serta komunikasi satelit, pertahanan, teknologi kedirgantaraan, dan institusi analisis kebijakan. Sektor-sektor tersebut sering mengelola data operasional sensitif yang harus dijaga kerahasiaannya. Berdasarkan karakteristik target, upaya mencuri material enkripsi menjadi ancaman serius bagi organisasi terdampak.
Cisco Talos juga menemukan indikasi penggunaan jaringan pendukung yang sama antara UAT-11473 dan jaringan akses tersembunyi Silent Train yang dikaitkan dengan Volt Typhoon. Walaupun terdapat kesamaan infrastruktur, kemiripan ini belum menjadi kepastian bahwa semua operasi dilakukan organisasi identik. Tim investigasi harus memisahkan indikator teknis yang beririsan dan identifikasi pelaku secara definitif. Pada analisis ancaman tingkat lanjut, akurasi identifikasi aktor perlu diprioritaskan agar kesimpulan tidak melampaui bukti. Dengan demikian, fokus utama organisasi perlu mencakup penutupan kerentanan.
Cara Melindungi Cisco SD WAN dari Eksploitasi dan Malware
Sebagai respons terhadap temuan KeyDrift, tindakan mendasar adalah memastikan pembaruan keamanan diterapkan. Pihak pengembang sistem telah menghadirkan versi perangkat lunak yang menutup kerentanan. Tim keamanan perusahaan sebaiknya mengevaluasi versi Cisco Catalyst SD-WAN yang terpasang pada sistem produksi. Apabila ditemukan versi rentan, migrasi menuju versi yang telah diperbaiki sebaiknya ditangani tanpa penundaan yang tidak perlu. Sebagai pengamanan tambahan, jalur pengelolaan perangkat harus diperketat agar tidak terbuka bagi jaringan tidak terpercaya. Langkah tersebut dapat membatasi kemungkinan penyalahgunaan perangkat.
Selain melakukan pembaruan, organisasi juga perlu menjalankan pemeriksaan aktivitas mencurigakan. Langkah tersebut diperlukan karena kompromi dapat terjadi ketika sistem masih rentan. Cisco Talos menyarankan organisasi untuk memantau tanda aktivitas pascakompromi. Proses investigasi ini sebaiknya melibatkan rekaman komunikasi jaringan, serta aktivitas perangkat pengendali. Ketika bukti serangan muncul, organisasi harus menjalankan mekanisme investigasi dan pemulihan. Apabila membutuhkan bantuan lanjutan, Cisco menyediakan bantuan melalui Technical Assistance Center atau TAC agar proses pemeriksaan sesuai karakteristik sistem.
Kesimpulan: Serangan Cisco SD WAN Menunjukkan Pentingnya Keamanan Jaringan
Penemuan malware KeyDrift pada lingkungan Cisco SD-WAN menegaskan tantangan keamanan komunikasi perusahaan. Berkat penyalahgunaan CVE-2026-20127, kelompok UAT-11473 dilaporkan mendapatkan akses tidak sah pada komponen kontrol jaringan. Dalam aktivitas lanjutan, penyerang memasang malware khusus yang ditujukan untuk memperoleh informasi kriptografi sensitif. Meski fungsi pengumpulan telah ditemukan, cakupan data yang benar-benar keluar masih memiliki keterbatasan bukti. Laporan keamanan tersebut menjadi pengingat agar administrator memperkuat keamanan komponen kontrol.
Dalam perkembangan TEKNOLOGI, perlindungan infrastruktur komunikasi merupakan kebutuhan utama dalam melindungi informasi perusahaan. Pembaruan perangkat lunak harus didukung oleh pengendalian hak akses serta respons insiden yang terencana. Melalui langkah tersebut, organisasi mampu membatasi kemungkinan penyalahgunaan akses. Bagi administrator jaringan, pengetahuan mengenai indikator kompromi memiliki peran penting. Bagaimana menurut Anda, apakah pemantauan keamanan berkelanjutan telah diterapkan secara memadai dalam menjaga keamanan komunikasi bisnis? Anda dapat berbagi pengalaman mengenai perlindungan jaringan perusahaan.
