Faille Cisco SD-WAN utilisée pour déployer le logiciel malveillant KeyDrift Cisco Talos affirme que l'UAT-11473 a exploité CVE-2026-20127, un bug de contournement d'authentification de gravité maximale dans les contrôleurs Catalyst SD-WAN corrigé en février 2026, pour déployer le framework KeyDrift personnalisé. Les cibles observées comprenaient les services spatiaux et satellitaires, les technologies de défense et spatiales et les organismes de recherche politique. La fonction signalée par KeyDrifts n'est pas uniquement une persistance générique : elle fonctionne au sein des processus SD-WAN au niveau du plan de contrôle, intercepte le trafic déchiffré, extrait les métadonnées de session et le matériel de clé IPsec estimé, puis le met en scène ou l'extrait. Cela place le compromis au niveau de la couche de contrôle du réseau, avec des implications directes sur un routage fiable, l'intégrité des homologues et l'accès à long terme. Sources ouvertes – récits fermés.

Faille Cisco SD-WAN utilisée pour déployer le logiciel malveillant KeyDrift Cisco Talos affirme que l'UAT-11473 a exploité CVE-2026-20127, un bug de contournement d'authentification de gravité maximale dans les contrôleurs Catalyst SD-WAN corrigé en février 2026, pour déployer le framework KeyDrift personnalisé. Les cibles observées comprenaient les services spatiaux et satellitaires, les technologies de défense et spatiales et les organismes de recherche politique. La fonction signalée par KeyDrifts n'est pas uniquement une persistance générique : elle fonctionne au sein des processus SD-WAN au niveau du plan de contrôle, intercepte le trafic déchiffré, extrait les métadonnées de session et le matériel de clé IPsec estimé, puis le met en scène ou l'extrait. Cela place le compromis au niveau de la couche de contrôle du réseau, avec des implications directes sur un routage fiable, l'intégrité des homologues et l'accès à long terme. Sources ouvertes – récits fermés.