CVE-2026-20127CVSS 10SD-WAN 对等认证绕过
未认证的远程攻击者可用特制请求获得高权限访问，并修改网络配置。
Talos 披露 KeyDrift：攻击者在 Cisco SD-WAN 控制组件中植入后门并收集密钥材料
Talos 报告 UAT-11473 利用 CVE-2026-20127 植入持久化后门并收集控制组件中的密钥材料。这是新披露的攻击活动，使用的是已有补丁的漏洞，并非新的零日漏洞。
- 披露时间
- 2026年10月28日
- 公开披露日期
- 严重程度
- CVSS 10
- 本页收录 1 个 CVE
- 波及范围
- 未修补的 Catalyst SD-WAN Controller、Manager 和 Validator；曾暴露或失陷的控制组件需要排查
- network
- 在野利用
- 已发现
- Cisco Talos 报告了实际利用，并恢复了控制组件中的恶意植入物。
发生了什么
Talos 于 10 月 28 日披露这轮攻击活动。PolyFlame 在控制组件进程内提供持久化访问；LittleFilch 检查解密后的控制流量，并提取被研究人员判断为 IPsec 数据平面密钥的材料。受影响的是控制组件，并非所有 Cisco 防火墙。公告涵盖自托管及 Cisco 托管部署，不受配置差异限制。
入口漏洞早在 2 月已披露。L4 基于本次新报告活动中恢复的植入物及实际利用。Talos 判断其基础设施与 Volt Typhoon 的 Silent Train 网络有重叠，但这不能证明两个攻击组织相同。报告没有给出受害者总数，也未证明所有客户流量均已被解密。
升级与调查应同时按厂商流程执行。达到修复版本不能证明曾失陷的控制组件已经干净。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Catalyst SD-WAN 20.9 | 20.9.8.2 | |
| Catalyst SD-WAN 20.12 | 20.12.5.3 / 20.12.6.1 | |
| Catalyst SD-WAN 20.15 | 20.15.4.2 | |
| Catalyst SD-WAN 20.18 | 20.18.2.1 | |
| 更早版本及已停止维护的版本 | 无修复 | 按 Cisco 兼容性矩阵和升级矩阵迁移 |
案发时间线
2026年2月25日
Cisco 发布认证绕过公告及修复
2026年10月28日
Talos 发布 KeyDrift 分析；Cisco 更新公告
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Cisco Talos KeyDrift analysis一手来源记录恢复的植入物、密钥收集、目标、排查线索及响应建议。
- Cisco PSIRT advisory一手来源列明受影响角色、修复版本、临时访问限制及日志核查方法。
- Cisco Catalyst SD-WAN Hardening Guide一手来源提供部署加固指导；访问限制需兼顾合法拓扑。