Cisco製の企業向けネットワーク管理ソフト「Cisco Catalyst SD-WAN」に、最高深刻度の脆弱性が見つかり、暗号鍵を盗むマルウェアが使われていた。セキュリティ部門のCisco Talosが報告した。狙われたのは、企業の拠点間ネットワークをまとめて管理する「司令塔」だ。別の調査では、同種の管理ソフトなど5製品が、同じ攻撃網のもとで狙われていたことも明らかになった。
CVSS10の脆弱性とKeyDrift
SD-WANは、会社の全拠点のネットワークを一か所からまとめて管理する仕組みだ。問題の脆弱性は、その中枢にあたる管理側の構成要素にあった。
認証なしで管理者権限に
脆弱性の識別番号はCVE-2026-20127で、2026年2月に公開された。深刻度を示すCVSSは最高の10.0。ログインなしで外部から管理者権限を得られる。
原因は、管理側の構成要素が通信相手を確かめる「ピア認証」を回避できる点にある。Ciscoは、この権限がSD-WANの構成変更に悪用され得ると警告している。
時間軸を整理する。調査会社Lumenによると、ハッキング集団Volt Typhoonは2025年後半までにこの脆弱性を悪用していた。修正版の公開前に悪用される「ゼロデイ攻撃」にあたる。悪用は2026年2月の公開後も長く続いたという。ただし、いつまで続いたのかは報道に記載がない。
暗号鍵を盗むKeyDrift
Talosが報告した攻撃者「UAT-11473」は、宇宙・衛星サービス、防衛・航空宇宙技術、政策研究を狙う高度な攻撃グループとされる。使われたマルウェアの集合体が「KeyDrift」だ。
KeyDriftは、管理サーバーの通常の動作に紛れて動く。暗号で守られた通信も、サーバーの内部では読める状態で扱われる。KeyDriftはそこに入り込み、やり取りの中身を見られる位置を取る。
中核モジュールの「PolyFlame」は、裏口の役割と、攻撃者の指令を中継する役割を兼ねる。「LittleFilch」は暗号鍵などの情報を集める。Talosは、この中に拠点間のデータ通信を守る鍵が含まれるとみている。
脆弱性とマルウェアの関係は、入口と中身の違いと言える。CVE-2026-20127は管理側に入るための穴であり、KeyDriftは入った先で居座り、鍵を集めるための道具だ。ただ、権限取得からKeyDrift設置までの具体的な手順は、報道では伝えられていない。
Lumenが示した攻撃網の全体像
Talosが報告したのは、侵入口の脆弱性とマルウェアだった。Lumenの研究部門Black Lotus Labsが追っていたのは、攻撃者が使う「道筋」と、その網のもとで破られた複数の製品である。
使い捨ての中継網
Black Lotus Labsは、2023年後半から「Silent Train」を監視してきた。追跡は約3年になる。
Silent Trainは、攻撃用の通信を中継するネットワークだ。小規模オフィスのルーター、IoT機器（インターネットにつながる家電やカメラなど）、企業のシステムを踏み台にする。攻撃者の居場所をたどられないようにするための仕組みである。
特徴は、経路を使い捨てにする点にある。セッション（1回ごとの接続）が終わるたびに痕跡を消すため、後から調べても発信源にたどり着きにくい。Lumenの調査は、数百件の被害者への通知につながった。
Talosは、UAT-11473のインフラがSilent Trainと「かなり重複する」と高い確度で評価した。ただし、UAT-11473とVolt Typhoonが同一のグループだとは述べていない。重複しているのは基盤であり、実行者が同じかどうかは確定していない。
一方、Lumenのレポートは、KeyDriftにもUAT-11473にも触れていない。両者を結ぶのは、Talosが示したインフラの重複という評価だけだ。
同じ網で破られた製品
Lumenが確認したゼロデイ攻撃は4件ある。Versa Director、N-able N-central、Cisco Catalyst SD-WAN、VeloCloud Orchestratorだ。Quest KACEへの攻撃も、ゼロデイだった可能性が高いとしている。
顔ぶれには共通点がある。いずれも、多数の拠点や顧客の機器をまとめて管理する基盤だ。1つ押さえれば、その先につながる環境に手が届く。確認された4製品に、可能性が高い1製品を加えた5つが、同じ攻撃網の標的になっていた。
管理基盤が標的になった意味
今回の報告で注目すべきは、個々の製品の欠陥よりも、狙われた場所が共通していたことだ。
一点突破で全拠点へ
従来の攻撃は、パソコンやサーバーを1台ずつ破っていく形が多かった。拠点が100あれば、100回の侵入が要る。
管理基盤では事情が変わる。SD-WANの管理サーバーは、全拠点のネットワーク設定を一手に握る「管理の要」だ。ここで管理者権限を得られれば、拠点ごとに侵入する必要がない。CVE-2026-20127は、その権限をログインなしで取れる脆弱性だった。
Lumenによると、被害対象は通信事業者、政府機関、防衛関連、衛星・重要通信事業者、MSP、軍と関係のある大学、重要インフラに及ぶ。米国ではハワイ、カリフォルニア、テキサスが最多だった。
ここで見落としやすいのがMSPだ。MSP（マネージドサービスプロバイダー）は、他社のIT運用を請け負う事業者を指す。1社の管理基盤が破られれば、背後にいる多数の顧客企業に手が届く。自社が対象製品を直接使っていなくても、運用を任せている事業者が使っていれば、影響は間接的に及び得る。
なお、盗まれた鍵で通信が実際に読まれたのかは、示されていない。わかっているのは、読める位置まで攻撃者が入り込んでいた点までだ。
利用企業への注意喚起
CVE-2026-20127の修正は2026年2月に出ている。それでも攻撃はその後も続いた。修正が出ても、適用されなければ穴は残る。
Cisco SD-WAN、VeloCloud、N-central、KACE、Versa Directorを使う企業が確認すべき点は3つある。
- 2月の修正が適用済みか（Cisco SD-WANの場合）
- 管理用のコントローラーが外部に公開されていないか
- 不審なピア接続（管理側が通信相手として受け入れた機器）や、身に覚えのない構成変更がないか
Cisco以外の4製品について、修正版の提供状況は報道に記載がない。各ベンダーの公式案内で、自社の製品が対象か、どのバージョンが安全かを確かめる必要がある。運用をMSPに任せている企業は、事業者がどの管理基盤を使い、対応を済ませているかも確認したい。
TalosはKeyDriftの活動を「過去のもの」とするが、時期は示しておらず、収束したのか今も続くのかを判断する材料は公表されていない。自社の管理基盤が影響を受けたかどうかは、自分で確かめるほかない。
出典
Cisco TalosのブログとLumen Black Lotus Labsのレポートの公式ページは確認できなかった。本記事の内容は、SecurityWeekの報道が伝えた範囲による。
- SecurityWeek「Cisco SD-WAN Zero-Day Exploitation Tied to Volt Typhoon’s Silent Train Network」: https://www.securityweek.com/cisco-sd-wan-zero-day-exploitation-tied-to-volt-typhoons-silent-train-network/
