Ancaman keamanan siber kembali menjadi perhatian setelah Cisco Talos mengungkap aktivitas kelompok penyerang yang mengeksploitasi celah kritis pada sistem Cisco Catalyst SD-WAN. Dalam laporan yang diterbitkan pada 28 Oktober 2026, peneliti menemukan malware khusus bernama KeyDrift yang dirancang untuk mengumpulkan informasi kunci enkripsi jaringan. Serangan tersebut memanfaatkan kerentanan CVE-2026-20127 yang memiliki tingkat keparahan maksimum 10,0. Perkembangan teknologi serangan ini menjadi peringatan bagi organisasi yang mengandalkan jaringan SD-WAN untuk menghubungkan berbagai kantor dan pusat data. Meski kemampuan pencurian kunci telah teridentifikasi, keberhasilan pengiriman seluruh data yang dikumpulkan belum dapat dipastikan.
Celah Kritis Cisco SD WAN Menjadi Target Kelompok Penyerang
Identifikasi aktivitas berbahaya pada Cisco Catalyst SD-WAN menjadi tantangan baru bagi profesional keamanan informasi. Berdasarkan analisis keamanan, Cisco Talos mengidentifikasi kelompok ancaman yang diberi identitas UAT-11473. Aktor ancaman ini dilaporkan memanfaatkan kerentanan CVE-2026-20127 untuk memperoleh akses tidak sah pada komponen pengelolaan jaringan. Sesudah berhasil memasuki sistem, penyerang memasang malware khusus bernama KeyDrift yang dirancang untuk mengumpulkan informasi sensitif. Operasi berbahaya tersebut memperlihatkan bahwa sistem manajemen konektivitas memiliki risiko keamanan yang serius.
Kerentanan yang dimanfaatkan sebenarnya telah memperoleh perbaikan keamanan dari Cisco pada Februari 2026. Meski perusahaan sudah merilis patch, hasil investigasi lanjutan menunjukkan adanya serangan yang berlangsung sebelumnya. Tim peneliti keamanan menyampaikan bahwa UAT-11473 menggunakan kelemahan autentikasi untuk menjalankan komponen malware. Hasil penelitian itu tidak berarti bahwa setiap perangkat terdampak mengalami kompromi. Risiko aktual bergantung pada konfigurasi akses, serta indikator kompromi yang ditemukan. Oleh karena itu, organisasi perlu segera meninjau kondisi pengendali jaringan.
Celah Autentikasi Cisco SD WAN Memiliki Tingkat Keparahan Maksimum
Celah keamanan pada sistem Cisco tersebut merupakan kerentanan yang memungkinkan pelewatan verifikasi akses. Dalam pengertian umum, kelemahan ini dapat memberikan kesempatan kepada penyerang jarak jauh tanpa autentikasi untuk memasuki komponen pengendali pada sistem yang menggunakan versi terdampak. Cisco memberikan skor CVSS 10,0 yang merupakan tingkat tertinggi dalam pengukuran risiko keamanan. Perangkat yang termasuk dalam cakupan mencakup Cisco Catalyst SD-WAN Controller, Manager, dan Validator sesuai informasi keamanan Cisco. Apabila sistem kontrol mengalami kompromi, penyerang memiliki peluang mengganggu hubungan antarkomponen.
Dampak dari kelemahan tersebut memerlukan perhatian khusus karena SD-WAN digunakan untuk menghubungkan cabang dan pusat data. Melalui sistem konektivitas tersebut, komponen Controller menjalankan fungsi utama dalam pengelolaan hubungan antarsitus. Jika sistem pusat tersebut berhasil diakses penyerang, informasi jaringan sensitif dapat menjadi sasaran pengambilan. Pada investigasi KeyDrift, penyerang tidak hanya berusaha memperoleh akses, melainkan mengembangkan malware yang berinteraksi dengan proses internal. Metode serangan semacam ini menunjukkan pentingnya perlindungan berlapis.
Cara Kerja LittleFilch dalam Mengumpulkan Informasi Sensitif
Aspek yang menjadi perhatian khusus Cisco Talos adalah keberadaan KeyDrift, yaitu sistem malware yang dikembangkan secara spesifik untuk perangkat yang mengelola komunikasi SD-WAN. Kerangka serangan ini menggabungkan berbagai fungsi yang mendukung pemantauan komunikasi internal. Modul yang menjadi perhatian dikenal sebagai LittleFilch yang berfungsi mengamati informasi control-plane yang sudah terbuka. Melalui kemampuan tersebut, malware berpotensi memperoleh data yang digunakan untuk perlindungan koneksi. Berdasarkan pemeriksaan teknis, salah satu bidang data yang dikumpulkan berkaitan dengan material kunci AES-256 untuk enkripsi koneksi data.
Dalam infrastruktur yang menggunakan enkripsi, informasi pengamanan koneksi dibutuhkan untuk mendukung kerahasiaan lalu lintas. Jika kunci enkripsi berhasil diperoleh pihak tidak sah, potensi gangguan keamanan jaringan memerlukan penanganan segera. Berdasarkan temuan Cisco Talos, LittleFilch diketahui dirancang agar dapat menyimpan hasil pengambilan informasi dalam penyimpanan lokal yang dilindungi. Malware tersebut juga memiliki fungsi komunikasi keluar untuk meneruskan hasil pengumpulan. Meski mekanisme tersebut teridentifikasi, peneliti belum dapat memastikan cakupan informasi yang telah keluar dari sistem.
Serangan Cisco SD WAN Berkaitan dengan Ancaman Siber Tingkat Lanjut
Aktor serangan yang diidentifikasi Talos dipantau sebagai advanced persistent threat atau APT, yaitu aktivitas penyerang dengan kemampuan tinggi. Dalam laporan keamanan yang diterbitkan, target serangan yang teridentifikasi mencakup layanan antariksa dan satelit, pertahanan, teknologi kedirgantaraan, dan organisasi riset strategis. Lingkungan organisasi semacam ini berpotensi memiliki informasi bernilai tinggi yang memerlukan pengamanan berlapis. Dengan kondisi tersebut, pengumpulan informasi jaringan menimbulkan risiko yang perlu ditangani bagi organisasi terdampak.
Dalam investigasi tambahan, Talos mengidentifikasi kemiripan infrastruktur operasional antara UAT-11473 dan jaringan akses tersembunyi Silent Train yang berhubungan dengan Volt Typhoon. Namun demikian, indikasi tersebut tidak dapat langsung diartikan sebagai kedua kelompok merupakan aktor yang sama. Peneliti keamanan perlu membedakan hubungan operasional dan penetapan identitas kelompok secara pasti. Pada analisis ancaman tingkat lanjut, kehati-hatian dalam menentukan pelaku perlu diprioritaskan agar analisis tidak menghasilkan tuduhan tanpa dasar. Berdasarkan prinsip investigasi, perhatian tim keamanan perlu mencakup penguatan perlindungan jaringan.
Langkah Mitigasi Kerentanan Cisco Catalyst SD WAN
Sebagai respons terhadap temuan KeyDrift, prioritas utama adalah menggunakan versi perangkat lunak yang telah diperbaiki. Cisco telah menyediakan perbaikan keamanan bagi produk terdampak. Pengelola infrastruktur disarankan meninjau versi Cisco Catalyst SD-WAN yang beroperasi dalam organisasi. Ketika sistem masih menggunakan rilis terdampak, pemasangan pembaruan resmi harus diprioritaskan. Tidak kalah penting, akses administrasi harus diperketat agar hanya dapat digunakan oleh sistem yang berwenang. Langkah tersebut berpotensi menekan kemungkinan penyalahgunaan perangkat.
Tidak cukup hanya memasang patch, organisasi juga perlu menjalankan investigasi indikator kompromi. Pemeriksaan tambahan menjadi relevan karena kompromi dapat terjadi ketika sistem masih rentan. Peneliti Cisco mengimbau organisasi untuk memantau tanda aktivitas pascakompromi. Pemeriksaan tersebut dapat mencakup rekaman komunikasi jaringan, serta aktivitas perangkat pengendali. Ketika bukti serangan muncul, organisasi sebaiknya menerapkan rencana penanganan keamanan. Untuk dukungan teknis, Cisco menyarankan menghubungi Technical Assistance Center atau TAC agar proses pemeriksaan mengikuti panduan resmi.
Kesimpulan: Serangan Cisco SD WAN Menunjukkan Pentingnya Keamanan Jaringan
Identifikasi malware KeyDrift pada lingkungan Cisco SD-WAN menegaskan risiko serangan terhadap sistem pengendali. Berkat penyalahgunaan CVE-2026-20127, kelompok UAT-11473 berhasil memperoleh akses tidak sah pada perangkat Cisco Catalyst SD-WAN. Dalam aktivitas lanjutan, penyerang memasang malware khusus yang memiliki kemampuan mengambil material kunci enkripsi. Walaupun demikian, cakupan data yang benar-benar keluar belum dikonfirmasi secara menyeluruh. Temuan tersebut menjadi pengingat agar perusahaan menerapkan perlindungan berlapis.
Seiring meningkatnya kompleksitas ancaman digital, pengelolaan keamanan sistem terdistribusi tetap menjadi bagian mendasar dalam melindungi informasi perusahaan. Pembaruan perangkat lunak perlu dikombinasikan dengan pemantauan aktivitas serta evaluasi keamanan berkelanjutan. Melalui langkah tersebut, organisasi dapat mengurangi dampak gangguan keamanan. Bagi administrator jaringan, pemahaman terhadap pola serangan mendukung perlindungan yang lebih efektif. Bagaimana menurut Anda, apakah perlindungan komponen pengendali jaringan sudah menjadi prioritas perusahaan dalam menjaga keamanan komunikasi bisnis? Anda dapat berbagi pengalaman mengenai pentingnya pengelolaan risiko siber.
