Cisco SD-WAN Açığını İstismar Eden Hackerlar Şifreleme Anahtarlarını Çalmak İçin KeyDrift Zararlısını Yerleştirdi

Cisco Catalyst SD-WAN sistemlerini etkileyen ve Şubat ayında yamaları yayımlanan kritik bir güvenlik açığı, hackerlar tarafından istismar edilerek hedef ağlara özel zararlı yazılım yerleştirildi. Cisco Talos, 28 Ekim'de yayımladığı raporda KeyDrift adını verdiği bu zararlının, siteler arasındaki trafiği şifreleyen AES anahtarlarını kopyalamak ve sonradan kullanılmak üzere depolamak amacıyla tasarlandığını açıkladı. Talos, saldırıları tarihsel olarak nitelendiriyor; ancak ne zaman gerçekleştiğini ve herhangi bir anahtarın dışarıya sızdırılıp sızdırılmadığını belirtmiyor.

CVE-2026-20127: CVSS 10.0 Puanlı Kritik Açık​

Söz konusu güvenlik açığı CVE-2026-20127 olarak takip ediliyor ve CVSS ölçeğinde tam puan olan 10.0 değerini taşıyor. Açık, kimliği doğrulanmamış uzak bir saldırganın kimlik doğrulamasını atlayarak SD-WAN denetim sistemleri üzerinde yönetici ayrıcalıkları elde etmesine olanak tanıyor. Denetleyici (Controller) üzerinde saldırgan, root olmayan yüksek ayrıcalıklı dahili bir hesapla oturum açabiliyor. Cisco, açığı Şubat ayında kamuoyuyla paylaştığında Talos, istismar faaliyetini UAT-8616 kümesi olarak tanımlamış ve bu faaliyetin en az 2023'e kadar uzandığını belirtmişti.
Açık; Catalyst SD-WAN Controller (eski adıyla vSmart), Manager (eski adıyla vManage) ve Validator (eski adıyla vBond) bileşenlerini yapılandırmadan bağımsız olarak etkiliyor. Şirket içi sistemlerin yanı sıra Cisco'nun barındırdığı bulut SD-WAN dağıtımları, Cisco Managed ve FedRAMP ortamları da bu açıktan etkileniyor. Cisco, Haziran ayında Validator'ı da güvenlik danışma belgesine ekledi.

KeyDrift Nasıl Çalışıyor: LittleFilch ve PolyFlame​

Cisco'nun geleneksel anahtar değişim mimarisinde her SD-WAN yönlendiricisi periyodik olarak trafiği için bir AES anahtarı üretir ve bunu Catalyst SD-WAN Controller'a iletir; Controller da bu anahtarları diğer yönlendiricilere dağıtır. Controller üzerinde vdaemon adlı bir süreç, bu anahtarları taşıyan şifreli kontrol bağlantılarını yönetir.
Ele geçirilmiş bir Controller'da KeyDrift'in LittleFilch bileşeni, vdaemon sürecine kancalanarak kontrol mesajlarını şifre çözümü sonrasında okuyor. Önceden belirlenmiş bir kenar yönlendirici listesi için LittleFilch, IP adreslerini ve Controller'ın yönlendiriciler arasında ilettiği AES-256 anahtar materyali olduğu değerlendirilen 32 baytlık bir alanı çekiyor. LittleFilch, topladığı verileri RSA ile şifreleyerek bir dosyaya yazıyor ve ardından bu veriyi bir ayar dosyasında belirtilen adrese UDP üzerinden gönderebiliyor. Talos, söz konusu ayar dosyasını kurtaramadığını belirtiyor.
KeyDrift'in ana modülü olan PolyFlame ise vdaemon'un belleğinde çalışıyor. Komut çalıştıran, dosya okuyup yazan bir TinyShell benzeri arka kapı işlevi görebildiği gibi komut sunucusu ile diğer makineler arasında komutları ileten bir röle olarak da çalışabiliyor. PolyFlame, SD-WAN kontrol trafiği içinde komut kabul edecek biçimde inşa edilmiş; analiz edilen örneklerde sabit kodlu herhangi bir sunucu adresi bulunmuyor.
Zararlı yazılım öncelikle Cisco SD-WAN cihazlarının servislerini başlatmak için kullandığı değiştirilmiş runit betikleri aracılığıyla devreye giriyor. Bir versiyonda SSH servisinin betiği, gerçek SSH sunucusundan önce conf_sshd adlı bir yükleyici betiği başlatıyor. Bu betik vdaemon'un süreç kimliklerini bir dosyaya yazıyor; ardından rsshd adlı araç, KeyDrift'in ana modülü PolyFlame'i bu süreçlerin her birine enjekte ediyor. Ele geçirilmiş bir Validator üzerinde ise /etc/sv/aaamgr/ dizini altında sahte bir aaamgr servisi, PolyFlame'i şifresi çözülmüş biçimde çalıştıran paketlenmiş bir yükleyici olan aaamgrd'yi çalıştırıyor. Cisco'nun gerçek aaamgr bileşeni Python paketi olup normalde derlenmiş bir servis olarak çalışmıyor. Saldırganların kendi dosyalarının zaman damgası ve izinlerini mevcut dosyalardan kopyaladığına dair izler de tespit edildi.

UAT-11473, Volt Typhoon Bağlantısı ve Hedef Profili​

Talos, KeyDrift'in arkasındaki grubu UAT-11473 olarak takip ediyor. Bu grubun uzay ve uydu hizmetleri, savunma ve havacılık teknolojisi ile politika araştırmaları alanlarını hedef aldığı belirtiliyor. Grubun altyapısı, Talos'un yüksek güvenle değerlendirdiğine göre Silent Train ile önemli ölçüde örtüşüyor. Silent Train, Lumen'in Black Lotus Labs biriminin saldırıya uğramış küçük ofis, ev ofisi, IoT ve iş cihazlarından oluşan bir ağa verdiği isim. Lumen, Volt Typhoon'un faaliyetlerini gizlemek için bu ağı kullandığını söylüyor.
CISA, NSA ve FBI, 2024 yılında Volt Typhoon'un Çin devlet destekli bir siber grup olduğunu açıklamıştı. Talos, UAT-11473'ü Volt Typhoon ile yalnızca altyapı örtüşmesi üzerinden ilişkilendiriyor; iki grubun aynı yapı olduğunu ya da UAT-11473'ün Şubat ayında raporlanan UAT-8616 kümesiyle nasıl bir ilişki içinde olduğunu belirtmiyor. Ayrı bir açıklamada Lumen, 28 Ekim'de Volt Typhoon'un CVE-2026-20127'yi 2025'in sonlarına kadar istismar ettiğini ve Cisco'nun açığı kamuoyuyla paylaşmasının ardından istismarın sürdüğünü aktardı. Lumen bu faaliyeti KeyDrift ile ilişkilendirmiyor.

Etkilenen Sürümler, Yamalar ve Geçici Önlemler​

Cisco, açığın sınırlı düzeyde istismar edildiğinin farkında olduğunu belirtiyor. Herhangi bir geçici çözüm bulunmuyor. İlk düzeltilmiş sürümler şu şekilde sıralanıyor:

• 20.9 sürüm treni: 20.9.8.2
• 20.11 sürüm treni: 20.12.6.1
• 20.12 sürüm treni: 20.12.5.3 veya 20.12.6.1
• 20.13, 20.14 ve 20.15 sürüm trenleri: 20.15.4.2
• 20.16 ve 20.18 sürüm trenleri: 20.18.2.1

\n20.9'dan önceki sürümler ile 20.11, 20.13, 20.14 ve 20.16 trenleri yazılım bakım desteği sonuna ulaşmış durumda; bu sürümlerin kullanıcılarının desteklenen bir sürüme geçmesi gerekiyor. Güncelleme yapana kadar şirket içi müşteriler, 22 ve 830 numaralı portlara erişimi yalnızca bilinen denetleyicilerin ve sistemlerin IP adresleriyle sınırlayabilir. Cisco, bu adımın test ortamında işe yaradığını ancak müşterilerin kendi ağlarında etkinliğini doğrulaması gerektiğini belirtiyor. Portların engellenmesinin, cihazda zaten bulunan zararlı yazılımı kaldırmadığını da not düşüyor.

KeyDrift Tespiti ve Olay Müdahalesi​

Talos, kuruluşlara Cisco'nun yamalarını yüklemelerini, Catalyst SD-WAN sertleştirme kılavuzunu takip etmelerini ve ele geçirme sonrası faaliyet belirtilerini izlemelerini tavsiye ediyor. Bu tür belirtiler tespit edildiğinde olay müdahalesine başlanması ve Cisco'nun Teknik Destek Merkezi'nden (TAC) yardım istenmesi öneriliyor. Talos'un raporu, güncellemenin halihazırda ele geçirilmiş bir cihazdaki KeyDrift'i kaldırıp kaldırmadığını ya da anahtarların yenilenmesi gerekip gerekmediğini belirtmiyor. Cisco'nun Şubat ayındaki düzeltme kılavuzu, güncelleme öncesinden kalma mevcut istismarların hâlâ yerinde olabileceği konusunda uyarıda bulunuyor.
Talos, 28 Ekim'de KeyDrift komuta-kontrol bağlantılarını arayan Snort kurallarını da yayımladı: Snort 2 için 67387-67416, Snort 3 için 7:44-7:73 numaralı kurallar. CVE-2026-20127'nin kendisini kapsayan 65938 ve 65958 numaralı kurallar zaten mevcuttu. Ücretli Snort Subscriber kural setinin kullanıcılarının 28 Ekim güncellemesindeki Snort 2 kurallarını varsayılan olarak devre dışı geldiğinden elle etkinleştirmesi gerekiyor. Açığın istismarını kontrol etmek için Cisco, /var/log/auth.log dosyasında bilinmeyen IP adreslerinden gelen Accepted publickey for vmanage-admin girişlerinin aranmasını öneriyor. ABD federal sivil kurumları için CISA'nın 25 Şubat tarihli acil yönergesi, kök hesap ele geçirilmesi durumunda izlenecek adımları ayrıca düzenliyor.

Sıkça Sorulan Sorular​

CVE-2026-20127 açığı hangi Cisco ürünlerini etkiliyor?​

CVE-2026-20127, Cisco Catalyst SD-WAN Controller (eski adıyla vSmart), Manager (eski adıyla vManage) ve Validator (eski adıyla vBond) bileşenlerini yapılandırmadan bağımsız olarak etkiliyor. Şirket içi sistemlerin yanı sıra Cisco'nun barındırdığı bulut SD-WAN dağıtımları, Cisco Managed ve FedRAMP ortamları da kapsam dahilinde.

KeyDrift zararlı yazılımı ne tür verileri ele geçiriyor?​

KeyDrift'in LittleFilch bileşeni, Catalyst SD-WAN Controller'ın yönlendiriciler arasında ilettiği AES-256 anahtar materyali olduğu değerlendirilen 32 baytlık bir alanı ve ilgili IP adreslerini kopyalıyor. Toplanan veriler RSA ile şifrelenerek bir dosyaya yazılıyor ve ayar dosyasında belirtilen bir adrese UDP üzerinden gönderilebiliyor. Talos, söz konusu ayar dosyasını kurtaramadığından herhangi bir anahtarın gerçekten dışarıya sızdırılıp sızdırılmadığı bilinmiyor.

UAT-11473 ile Volt Typhoon arasındaki bağlantı nedir?​

Talos, UAT-11473'ü Volt Typhoon ile yalnızca altyapı örtüşmesi üzerinden ilişkilendiriyor ve iki grubun aynı yapı olduğunu söylemiyor. CISA, NSA ve FBI 2024 yılında Volt Typhoon'un Çin devlet destekli bir siber grup olduğunu açıklamıştı. Lumen ise ayrı bir açıklamada Volt Typhoon'un CVE-2026-20127'yi istismar ettiğini belirtmekle birlikte bu faaliyeti KeyDrift ile ilişkilendirmiyor.

KeyDrift bulaşmış bir cihazı güncellemek zararlı yazılımı temizliyor mu?​

Talos'un raporu bu soruyu doğrudan yanıtlamıyor. Cisco'nun Şubat ayındaki düzeltme kılavuzu, güncelleme öncesinden kalma mevcut istismarların hâlâ yerinde olabileceği konusunda uyarıda bulunuyor. Ayrıca portların engellenmesi de cihazda zaten bulunan zararlı yazılımı kaldırmıyor. Ele geçirme belirtisi bulan kuruluşların olay müdahalesi başlatması ve Cisco TAC'tan destek alması öneriliyor.

KeyDrift'i tespit etmek için hangi Snort kuralları kullanılabilir?​

Talos, 28 Ekim'de KeyDrift komuta-kontrol bağlantılarını arayan Snort kurallarını yayımladı: Snort 2 için 67387-67416, Snort 3 için 7:44-7:73 numaralı kurallar. CVE-2026-20127'nin kendisini kapsayan 65938 ve 65958 numaralı kurallar ise daha önceden mevcuttu. Ücretli Snort Subscriber kural setini kullananların yeni Snort 2 kurallarını varsayılan olarak devre dışı geldiğinden elle etkinleştirmesi gerekiyor.