Ing. Calogero Bono
Cisco Talosは10月28日、Cisco Catalyst SD-WANのコントローラー内で動作するよう設計されたマルウェア、KeyDriftの分析を公開しました。攻撃者はCVE-2026-20127を悪用して侵入します。これは認証バイパスの脆弱性で、CVSSスコアは10.0です。Ciscoは2月に修正しています。このマルウェアの目的は、組織の拠点間でトラフィックを暗号化しているキーを複製することです。攻撃されるのが単一のルーターではなく、ネットワークの中枢であるため、広域企業ネットワークを管理するすべての人に関係する問題です。
本題に入る前に、いくつかの用語を確認します。SD-WANは、拠点や支社を結ぶ広域ネットワークをソフトウェアで管理する仕組みです。Controller（以前はvSmart）はルールとキーを配布し、Manager（vManage）は全体を管理し、Validator（vBond）は機器の認証を行います。NETCONFは、ネットワーク機器の設定を変更するためのプロトコルです。APTは、高度で持続的な攻撃グループを指し、多くの場合は国家と関係があります。認証バイパスとは、パスワードを知らなくても侵入できてしまう脆弱性のことです。
CVE-2026-20127で何が起きたのか
Ciscoの公式アドバイザリによると、問題は構成要素間の認証が想定どおりに機能しない点にあります。認証不要のリモート攻撃者が巧妙に作られたリクエストを送信し、管理者権限を取得できます。Controllerでは、高い権限を持つ内部ユーザーとしてアクセスできますが、rootではありません。そこからNETCONFに到達し、SD-WANネットワーク全体の設定を変更できてしまいます。
この脆弱性はController、Manager、Validatorすべてに影響し、構成の違いは関係ありません。オンプレミス環境に加え、Ciscoがホストするクラウド環境も対象で、Cisco管理のものやFedRAMP環境も含まれます。The Hacker Newsによると、Ciscoは6月16日にValidatorをアドバイザリに追加し、攻撃が限定的に行われていることを把握していると発表しました。パッチ以外に代替策はありません。
KeyDriftはコントローラー内でどのように動作するのか？
従来のキー交換の仕組みでは、各ルーターが自分のトラフィック用のAESキーを定期的に生成し、それをControllerに送信します。Controllerはそのキーをほかのルーターに配布します。vdaemonと呼ばれるプロセスが、これらのキーを運ぶ暗号化された制御接続を管理しています。
PolyFlameとLittleFilch
KeyDriftには主要な構成要素が2つあります。PolyFlameは正規のvdaemonプロセス内でメモリ上に常駐します。TinyShell型のバックドアとして動作し、コマンドを実行したりファイルを読み書きしたりできるほか、コマンドサーバーと別のマシンの間で中継役を果たすこともできます。分析されたサンプルには、コード内にサーバーのアドレスは書き込まれていませんでした。
LittleFilchはvdaemonにフックし、復号後の制御メッセージを読み取ります。あらかじめ決められたエッジルーターの一覧について、IPアドレスと32バイトのフィールドを抽出します。Talosはこのフィールドが、IPsecトンネルのAES-256キーの素材であると考えています。すべてをRSAで暗号化し、/var/tmp/vdaemon.binに書き込み、設定ファイルで指定されたアドレスへUDPで送信できます。送信後、そのアドレスは削除されます。
インストールの方法
Talosによると、KeyDriftは主に、Ciscoの機器がサービスを起動するために使うrunitスクリプトを改変することで侵入します。SSHサービスのスクリプトはconf_sshdというローダーを起動し、rsshdというツールがPolyFlameをvdaemonのプロセスに注入します。侵害されたValidatorでは、偽のaaamgrサービスも見つかっています。攻撃者はタイムスタンプ偽装も使用しています。これは既存ファイルの日付や権限を自分のファイルにコピーする手法です。
どのバージョンが修正済みなのか？
Ciscoは各系統について最初の修正版を示しています。サポート終了となった系統の一覧は、The Hacker Newsが報じた内容に基づいています。
- 20.9より前 - 修正版へ移行してください。
- 20.9 - 20.9.8.2。
- 20.11 - 20.12.6.1。
- 20.12 - 20.12.5.3または20.12.6.1。
- 20.13、20.14、20.15 - 20.15.4.2。
- 20.16と20.18 - 20.18.2.1。
20.9より前のリリースと、20.11、20.13、20.14、20.16の系統は、ソフトウェアのメンテナンスが終了しています。これらを使用している場合は、サポート対象のバージョンへ移行する必要があります。
それまでの間、オンプレミス環境を管理している人は、ACL、ファイアウォールルール、またはセキュリティグループを使って、ポート22と830へのアクセスを制限できます。許可するのは、コントローラーや必要なホストの既知のIPアドレスだけにします。Ciscoはテスト環境ではこの対策が有効だったと述べていますが、自社のネットワークでも確認するよう勧めています。Ciscoがホストするクラウド環境では、これらの保護はすでに有効になっています。
攻撃の背後には誰がいるのか？
TalosはKeyDriftをUAT-11473というグループに帰属させています。このグループは、宇宙・衛星サービス、防衛・航空宇宙技術、公共政策の研究機関を標的にしてきました。BleepingComputerによると、このグループはVolt Typhoonと関連するSilent Trainという秘匿アクセスネットワークと重なる部分があるようですが、Talosは確定的な関連付けを行っていません。
The Hacker Newsによると、重なるのはインフラストラクチャの部分です。Silent Trainは、Lumenのブラックロータス・ラボが、小規模オフィス、家庭用、IoT機器を含む侵害済みデバイスのネットワークにつけた名称です。Lumenは、Volt Typhoonがこのネットワークを活動の隠蔽に使い、2025年末の時点でCVE-2026-20127を、2月の公開後も悪用していたと主張しています。ただし、Lumenはその活動をKeyDriftには結び付けていません。
把握しておくべき制限事項
まだ多くの点が不明です。Talosは過去の攻撃について説明していますが、それがいつ行われたのか、また実際にキーが送信されたのかは示していません。送信先アドレスが記載された設定ファイルは回収されていません。レポートにはファイルのハッシュや、調査に役立つIPアドレス、ドメインも含まれていません。
UAT-11473と2月に指摘されたUAT-8616の関係も明らかになっていません。さらに、アップデートによって侵害済みの機器からKeyDriftが除去されるのか、またキーを交換する必要があるのかも不明です。ポートを閉じても、すでに存在するマルウェアは削除されません。Ciscoは、アップデートの前に、まだ活動中の侵害が存在する可能性があると警告しています。
デジタル業務に携わる人への影響
自社や顧客がCatalyst SD-WANを使っている場合、アップデートだけでは不十分です。その前に誰かが侵入していなかったかを確認する必要があります。Ciscoは、/var/log/auth.logを確認し、未知のIPアドレスからvmanage-adminに対するAccepted publickeyの記録を探すよう勧めています。そのIPアドレスは、Managerに表示されるSystem IPと照合してください。
ログ内のピアリングイベントはすべて手作業で検証する必要があります。メンテナンス時間帯との照合、パブリックIPとインベントリの照合、ピアのシステムIPとピアの種類の確認を行ってください。Cisco TACにケースを開く前に、各制御コンポーネントでrequest admin-techコマンドを実行してください。
開発やサーバー運用に携わる人にとって、より広い教訓もあります。暗号化キーはパスワードと同じくらい重要な標的であり、それを配布するシステムは隔離して監視する必要があります。基本原則を復習したい場合は、Signalプロトコルによるエンドツーエンド暗号化のガイドをご覧ください。セキュリティアップデートが提供されるホスティングとマネージドサーバーを利用すれば、パッチの管理は運用側の担当になりますが、個別のケースごとに確認は必要です。
編集部の見解
私たちにとって最も深刻なのはマルウェアそのものではなく、時間の問題です。Cisco Talosによると、悪用は少なくとも2023年までさかのぼり、Lumenは2月以降も活動が続いていたと述べています。パッチが公開されても、誰かが何か月も管理者アクセスを持っていた場合、問題は終わりません。多くの組織は、アップデートを作業の終わりとして扱っていますが、今回はそうではありません。
その後の情報提供も、十分とは言えません。侵害が見つかった場合の対応策は一般的な内容にとどまり、キーの交換についての明確な回答もありません。ログを見ずにネットワークプロバイダーに任せていることの多い日本の中小企業にとって、これは現実的な問題です。中小企業に関わるリスクについては、自動化された攻撃型セキュリティがイタリアの中小企業にとって何を意味するかという記事でも取り上げました。ベンダーには、口頭の安心ではなく、文書による回答を求めてください。
よくある質問
CVE-2026-20127とは何ですか？
Cisco Catalyst SD-WANの認証バイパスの脆弱性で、CVSSスコアは10.0です。認証されていないリモート攻撃者が管理者権限を取得できます。Ciscoは2月に修正しました。
KeyDriftとは何ですか？
Cisco Talosが解説したマルウェアのフレームワークで、SD-WANのコントローラーを標的にしています。永続的なアクセスの維持、制御トラフィックの傍受、暗号化キーの複製を目的としています。PolyFlameとLittleFilchという2つの構成要素があります。
アップデート以外に代替策はありますか？
いいえ。Ciscoは回避策がないと述べています。オンプレミス環境では、ポート22と830を既知のIPアドレスに限定するという一時的な緩和策がありますが、パッチの代わりにはなりません。
自分が侵害されたかどうかはどう確認しますか？
/var/log/auth.logで、未知のIPアドレスからのvmanage-adminに対するAccepted publickeyの記録を探してください。それらをManagerのSystem IPと照合し、ピアリングイベントをすべて検証します。兆候が見つかった場合は、request admin-techを実行したうえで、Cisco TACにケースを開いてください。
Ciscoがホストするクラウドは安全ですか？
完全に安全とは言えません。ホストされたクラウド環境も脆弱性の影響を受けています。ただし、Ciscoによると、これらの環境ではポートの保護がすでに有効になっています。
今後数か月にSD-WANネットワークで確認すべきこと
今後数か月は、侵害指標や影響を受けた機器の修復に関するTalosの最新情報を追うとよいでしょう。実践的な対応は3つです。
- 使用中のリリースを確認し、Ciscoの一覧に基づいて、修正済みかつ現在もサポートされているバージョンへ移行してください。
- 認証ログとTalosが示したファイルで過去の痕跡を探し、admin-techファイルはTACのために保管してください。
- ポート22と830を既知のIPアドレスに限定し、キーの交換を予定しているかをベンダーに確認してください。外部のサポートが必要な場合は、Meteora Webのサービスもご覧ください。
