Hackers Exploited Cisco SD-WAN Flaw to Plant Malware Built to Steal Encryption Keys

Cisco Talos reveló que un grupo de atacantes, vinculado a redes de espionaje chinas, explotó la vulnerabilidad CVE-2026-20127 en los sistemas Catalyst SD-WAN. Este fallo, que recibió la calificación máxima de riesgo (10.0), permite a un atacante remoto entrar al sistema sin contraseña y tomar control administrativo total. Aunque la actualización de seguridad se publicó en febrero de 2026, se han detectado ataques reales que datan desde 2023.

Una vez dentro, los hackers instalan un paquete de programas maliciosos llamado KeyDrift. Este incluye un módulo que se infiltra en el proceso de intercambio de llaves de la red para copiar las claves AES-256, que son las que aseguran que nadie pueda leer la información que viaja entre las oficinas de una empresa. Además, el malware funciona como una "puerta trasera" (backdoor) que permite a los atacantes ejecutar comandos y mover archivos de forma remota y oculta.

La falla afecta a los componentes Controller, Manager y Validator de la arquitectura SD-WAN de Cisco, tanto en instalaciones propias como en la nube. Cisco advierte que simplemente instalar el parche podría no ser suficiente si el sistema ya fue comprometido previamente, por lo que recomienda revisar los registros de acceso y buscar archivos sospechosos en las rutas del sistema antes de dar por cerrada la incidencia.

Qué significa para una pyme colombiana y cucuteña: Si su empresa usa Cisco SD-WAN para conectar sucursales (por ejemplo, su oficina en el centro de Cúcuta con bodegas en la zona industrial), debe verificar de inmediato que sus controladores estén en las versiones 20.9.8.2, 20.12.6.1, 20.15.4.2 o 20.18.2.1. Si no ha actualizado desde febrero, sus comunicaciones privadas podrían estar expuestas. Pida a su encargado de sistemas que revise el archivo de registro /var/log/auth.log buscando ingresos sospechosos del usuario 'vmanage-admin' desde direcciones IP desconocidas.