脅威動向 2026-10-29（木）配信

Cisco Talos、Cisco SD-WANを狙う「KeyDrift」を分析

Cisco Talosは、Cisco SD-WAN Catalyst Controllerの認証バイパス脆弱性（CVE-2026-20127）を悪用して侵入し、制御プレーンから暗号鍵素材などを窃取するカスタムマルウェアフレームワーク「KeyDrift」を展開するAPTグループ「UAT-11473」の活動分析を公開しました。

脅威の概要

APTグループ「UAT-11473」がCisco SD-WAN Catalyst Controllerの認証バイパス脆弱性（CVE-2026-20127）を悪用して侵入し、制御プレーン上で動作するカスタムマルウェアフレームワーク「KeyDrift」を展開していることが確認されました。KeyDriftは、プロセスインジェクションやTLSインターセプションを通じて暗号鍵素材の収集やバックドア機能、中継C2として動作します。

主要なTTP

Cisco SD-WAN Catalyst Controllerの認証バイパス脆弱性（CVE-2026-20127）の悪用

runitサービスランチャーの改変によるマルウェアの起動・永続化

ptraceシステムコールを用いたvdaemonプロセスへのPolyFlameモジュールのインジェクション

OpenSSLのSSL_readフックを用いた制御プレーン上の暗号鍵素材のインターセプション

TinyShellライクなバックドア機能および中間C2としての動作

対象となる組織・利用者

Cisco SD-WAN Catalyst Controller環境を運用している組織。

推奨される防御アクション

Ciscoが公開したCVE-2026-20127に対するパッチを適用する

Ciscoが公開しているCisco Catalyst SD-WANのハードニングガイドラインに沿った対策を実施する

コントロールプレーンプロセスへの不正なインジェクションや不審なrunitサービス、改変されたスクリプトの痕跡がないか監視する

出典：https://blog.talosintelligence.com/uat-11473-keydrift/

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →