Uma falha crítica nos controladores Cisco Catalyst SD-WAN, corrigida em fevereiro, foi usada para instalar um malware feito por medida que recolhe material criptográfico das ligações entre as sedes e as filiais das organizações. A Cisco Talos chama a esta ferramenta KeyDrift e atribui-a a um grupo que designa por UAT-11473. Segundo a Talos, a infraestrutura deste grupo coincide em boa parte com a “Silent Train”, a rede encoberta que o Black Lotus Labs, da Lumen, associa ao grupo chinês Volt Typhoon. As duas investigações foram publicadas a 28 de outubro de 2026. Juntas, mostram que a vulnerabilidade CVE-2026-20127 continuou a ser explorada muito depois de ter sido divulgada.
Resposta rápida: A CVE-2026-20127 (CVSS 10.0) permite contornar a autenticação dos controladores Cisco Catalyst SD-WAN sem credenciais. Foi usada para instalar o KeyDrift, um malware que extrai material de chaves de cifra do plano de controlo. A Talos liga a infraestrutura dos atacantes à rede Silent Train, associada ao Volt Typhoon. Quem tem Catalyst SD-WAN deve confirmar que está numa versão corrigida e procurar sinais de comprometimento, porque a atualização não remove um implante que já lá esteja. Se houver indícios de intrusão, deve também renovar as chaves e os certificados.
A vulnerabilidade: uma falha na confiança entre os componentes da rede
A Cisco publicou o aviso sobre a CVE-2026-20127 (referência cisco-sa-sdwan-rpa-EHchtZk) a 25 de fevereiro de 2026. O problema está no mecanismo de autenticação entre pares (peering) do Catalyst SD-WAN Controller, antes chamado vSmart, e do Catalyst SD-WAN Manager, antes chamado vManage. A falha tem a classificação máxima de 10.0 na escala CVSS v3.1 e corresponde à categoria CWE-287 (autenticação imprópria).
Segundo a análise técnica da Rapid7, a vulnerabilidade afeta o serviço vdaemon. Este serviço gere o peering do plano de controlo na porta 12346, em UDP com DTLS e em TCP com TLS. Um atacante remoto e sem autenticação pode enviar pedidos manipulados e entrar no controlador com uma conta interna de privilégios elevados, embora não seja a conta root. A partir daí, pode usar o NETCONF para alterar a configuração de toda a rede SD-WAN.
Quando a falha foi divulgada, a Talos atribuiu a exploração a outro grupo, o UAT-8616, que a usava pelo menos desde 2023. Esse grupo combinava a falha com uma vulnerabilidade antiga, a CVE-2022-20775 (CVSS 7.8), para obter acesso root persistente. A agência norte-americana CISA juntou as duas falhas ao seu catálogo de vulnerabilidades exploradas (KEV) no próprio dia 25 de fevereiro. Na mesma altura, agências da aliança Five Eyes publicaram orientações conjuntas para procurar sinais de comprometimento.
KeyDrift: um espião instalado dentro do controlador
A investigação da Cisco Talos descreve o KeyDrift como um conjunto de ferramentas pensado para funcionar dentro dos controladores SD-WAN. Segundo a Talos, o objetivo é garantir acesso persistente durante muito tempo e enviar para fora, de forma automática, o material criptográfico das ligações. O malware não comunica com o exterior como um malware comum. Trabalha a partir de processos legítimos do controlador e lê o tráfego de controlo depois de este ter sido decifrado.
A Talos identificou dois componentes principais:
- PolyFlame: módulo que só existe em memória, lançado através de caminhos de serviço
runitmodificados. É injetado nos processosvdaemonlegítimos e também pode fazer-se passar por uma variante comprimida do carregadoraaamgrd. Interceta funções de rede, de DTLS e do carregador dinâmico, comorecvfrom,sendto,dlopenemprotect. - LittleFilch: módulo de recolha e envio dos dados. Interceta a função
SSL_readdentro dovdaemone analisa as mensagens de controlo já decifradas. Daí extrai o material de chaves de uma lista predefinida de equipamentos de ponta (edge) e guarda-o cifrado no próprio sistema, pronto a ser enviado.
A Talos também encontrou sinais de timestomping, ou seja, alteração das datas dos ficheiros para dificultar a análise forense. Os alvos observados pertencem aos setores dos serviços espaciais e de satélite, da defesa e aeroespacial, e da investigação em políticas públicas. A Talos classifica a atividade como “histórica”. Não indica quando decorreu nem se chegou a ser enviado algum material criptográfico.
A ligação ao Volt Typhoon e à rede Silent Train
A Talos afirma, com “elevada confiança”, que a infraestrutura do UAT-11473 se sobrepõe de forma considerável à Silent Train. Isto não significa que a Talos diga que o UAT-11473 e o Volt Typhoon são o mesmo grupo. Também não explica que relação tem o UAT-11473 com o UAT-8616, o grupo identificado em fevereiro.
No mesmo dia, o Black Lotus Labs publicou o seu relatório sobre a Silent Train. A equipa acompanha esta rede desde o fim de 2023. A Silent Train passa o tráfego dos atacantes por cadeias de routers de pequenos escritórios, dispositivos IoT e equipamentos empresariais comprometidos, que vão sendo trocados com frequência. As sessões começam em servidores virtuais fora dos EUA, passam por equipamentos comprometidos noutros países e saem por dispositivos norte-americanos. Em alguns casos, havia até seis saltos entre o operador e a vítima. No fim de cada operação, os atacantes apagavam os vestígios.
Segundo a Lumen, o Volt Typhoon já explorava a CVE-2026-20127 no fim de 2025 e continuou a fazê-lo muito depois da divulgação em fevereiro. Os alvos eram os mecanismos de peering de confiança entre os equipamentos SD-WAN e a infraestrutura de controlo. A Lumen não liga diretamente esta atividade ao KeyDrift. O acompanhamento da rede levou a centenas de notificações a vítimas e permitiu identificar quatro campanhas confirmadas com vulnerabilidades de dia zero, além de uma quinta provável.
| Produto | Vulnerabilidade | Estado segundo a Lumen |
|---|---|---|
| Versa Director | CVE-2024-39717 | Dia zero confirmado |
| N-able N-central | CVE-2025-8875 e CVE-2025-8876 | Dia zero confirmado (uma única campanha) |
| Cisco Catalyst SD-WAN | CVE-2026-20127 | Dia zero confirmado; exploração continuou após a correção |
| VeloCloud Orchestrator | CVE-2026-16812 | Dia zero confirmado |
| Quest KACE | Não identificada | Dia zero provável (confiança moderada); mais de 30 vítimas |
Para a Lumen, há um padrão claro: o grupo procura sistemas centrais de gestão, como orquestradores SD-WAN e plataformas de gestão de rede e de equipamentos. Estes sistemas dão acesso administrativo amplo a muitos ambientes, incluindo os de clientes de prestadores de serviços.
Cronologia
| Data | Acontecimento |
|---|---|
| Desde 2023 | O UAT-8616 explora a CVE-2026-20127, segundo a Talos |
| Fim de 2023 | O Black Lotus Labs identifica a rede Silent Train |
| Fim de 2025 | O Volt Typhoon já explora a falha da Cisco, segundo a Lumen |
| 25 fev. 2026 | A Cisco divulga a falha e publica correções; a CISA junta-a ao catálogo KEV |
| Maio a set. 2026 | A Cisco corrige outras falhas exploradas no SD-WAN (CVE-2026-20182, CVE-2026-20245, CVE-2026-20262, CVE-2026-76504) |
| 28 out. 2026 | A Talos publica a análise do KeyDrift e a Lumen publica o relatório Silent Train; a Cisco atualiza o aviso e mantém que tem conhecimento de exploração limitada |
Um ano difícil para o Catalyst SD-WAN
A CVE-2026-20127 é apenas um de vários problemas graves no Catalyst SD-WAN em 2026. Em maio, a Cisco corrigiu a CVE-2026-20182, outra falha de contorno da autenticação no peering. Foi descoberta por investigadores da Rapid7 enquanto estudavam a CVE-2026-20127 e também foi explorada como dia zero. Em junho, a Cisco avisou que as falhas CVE-2026-20245 e CVE-2026-20262 estavam a ser usadas para obter privilégios de root. A 30 de setembro, publicou correções para a CVE-2026-76504 (CVSS 9.8), um contorno da autenticação na API do SD-WAN Manager que também estava a ser explorado. Essa falha foi corrigida nas versões 26.2.1, 26.1.2.1, 20.18.4.1, 20.15.6.1, 20.12.8.2 e 20.9.10.1.
Sinais a procurar e o que fazer
A Talos publicou a lista completa de indicadores de comprometimento no seu relatório, que deve ser consultado diretamente. Estes são os sinais descritos pela Talos:
| Tipo | Sinal | Notas |
|---|---|---|
| Persistência | Scripts de serviço runit alterados | Forma de lançar o PolyFlame |
| Processo | Código injetado em vdaemon | Interceção de SSL_read e de funções de rede |
| Disfarce | Variante comprimida do carregador aaamgrd | Faz-se passar por um processo legítimo |
| Anti-forense | Datas de ficheiros alteradas (timestomping) | Dificulta a reconstrução da cronologia |
| Recolha | Ficheiros locais com material de chaves cifrado | Preparação dos dados para envio pelo LittleFilch |
- Confirmar que o Controller, o Manager e os restantes componentes do SD-WAN estão em versões corrigidas, de acordo com a tabela do aviso da Cisco. Não há solução temporária alternativa.
- Limitar a exposição à Internet das interfaces de gestão e de controlo, aceitando ligações apenas de endereços conhecidos.
- Verificar os scripts
runit, os processosvdaemone a lista de pares do plano de controlo, à procura de alterações ou de pares que ninguém autorizou. - Fazer uma avaliação de comprometimento mesmo nos sistemas já corrigidos. A atualização fecha a porta de entrada, mas não remove um implante que já esteja instalado.
- Se houver sinais de intrusão, renovar as chaves e os certificados do SD-WAN e analisar o tráfego entre sedes que possa ter ficado exposto.
Porque é que isto importa em Portugal
O SD-WAN é muito usado por operadores de telecomunicações, banca, retalho, saúde e administração pública para ligar sedes, filiais e serviços na nuvem. Quem compromete o controlador pode alterar a rede inteira e, como mostra o KeyDrift, pode também recolher as chaves que protegem o tráfego entre locais. Os ataques descritos visaram sobretudo organizações norte-americanas. No entanto, a Silent Train passa por equipamentos comprometidos em vários países, e os routers domésticos e de pequenos escritórios em Portugal podem acabar a servir de pontos intermédios sem que os donos saibam.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), gerir vulnerabilidades em infraestruturas críticas de rede é uma obrigação legal. Um incidente com impacto significativo tem de ser notificado ao CNCS, onde funciona o CERT.PT. Se o material intercetado incluir tráfego com dados pessoais, o RGPD obriga também a avaliar se é preciso notificar a CNPD. As PME que dependem de prestadores de serviços geridos devem perguntar-lhes se usam Catalyst SD-WAN e se já aplicaram as correções.
Perguntas frequentes
O que é a CVE-2026-20127?
É uma falha crítica (CVSS 10.0) no mecanismo de autenticação entre pares do Cisco Catalyst SD-WAN Controller e Manager. Permite a um atacante remoto, sem credenciais, obter privilégios administrativos e alterar a configuração da rede SD-WAN. A Cisco divulgou-a a 25 de fevereiro de 2026.
O que faz o malware KeyDrift?
Instala-se dentro dos processos legítimos do controlador SD-WAN, lê o tráfego de controlo já decifrado e extrai o material de chaves de equipamentos selecionados. Guarda essa informação cifrada para a enviar mais tarde. Os componentes principais são o PolyFlame e o LittleFilch.
O ataque é obra do Volt Typhoon?
A Talos diz que a infraestrutura do grupo UAT-11473 se sobrepõe muito à rede Silent Train, associada ao Volt Typhoon, mas não afirma que sejam o mesmo grupo. Já a Lumen atribui ao Volt Typhoon uma campanha separada contra a mesma falha, que decorria no fim de 2025.
Basta atualizar o SD-WAN para ficar protegido?
Não. A atualização impede novas explorações, mas não remove um implante que já esteja instalado. É preciso procurar sinais de comprometimento, verificar os scripts de serviço e os processos do controlador e, se houver indícios de intrusão, renovar as chaves e os certificados.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Cisco Talos, pelo Black Lotus Labs da Lumen, pela Rapid7, pelo Center for Internet Security e pela Cisco.