La teva SD-WAN rota la clau cada 24 hores. L'implant també

Un dels components de l'implant que Cisco Talos va descriure el 28 d'octubre del 2026 es diu LittleFilch i fa una sola cosa: enganxa la crida SSL_read dins del procés del pla de control d'un controlador Catalyst SD-WAN i extreu material de clau del trànsit de control ja desxifrat, per a una llista predefinida de nodes de vora. Talos avalua —aquesta és la seva paraula, assessed, no confirmat— que aquests 32 bytes són material de clau AES-256 d'IPsec distribuït per OMP. El recull al lloc pel qual, segons la documentació de Cisco, aquest material ha de passar.

El que diu el manual, abans de parlar de cap atacant

La guia de seguretat de Cisco descriu el cicle de la clau del pla de dades en dues frases. Primer: «Each router generates a new AES key for its data path periodically» —cada router genera periòdicament una clau AES nova per al seu camí de dades—. I després, quan toca rotar: «the router sends it immediately to the Cisco SD-WAN Controllers using DTLS or TLS. The Cisco SD-WAN Controllers send the key to the peer routers». El router la fabrica i el controlador la reparteix.

El disseny té la seva lògica: algú ha de distribuir les claus entre desenes o centenars de seus que no es coneixen entre elles per endavant, i aquest algú és el controlador. A la mateixa pàgina hi ha escrit el preu d'aquesta comoditat. Per construcció, el controlador és el lloc on la clau de cada seu existeix en clar durant un instant.

L'altra xifra del manual és la que dona títol a això. Per defecte, una clau val 86.400 segons: 24 hores. El rang configurable va de 10 segons a 1.209.600 —catorze dies—. Aquesta rotació es ven, amb raó, com a higiene criptogràfica: si algú captura una clau, li caduca l'endemà.

Per què la rotació deixa de ser una defensa

Un implant que viu dins del procés que rep les claus no necessita que la clau duri. Necessita continuar-hi l'endemà. I en això la feina de Talos és força explícita: la persistència es munta modificant els guions de servei de runit sota /etc/sv/sshd/ i /etc/sv/aaamgr/, que tornen a muntar /rootfs.rw com a executable i llancen la cadena d'injecció a cada arrencada.

Dit així, i això ja és lectura nostra i no de Talos: mentre l'implant continuï a dins, el cicle de rotació de 24 hores deixa de ser una defensa i passa a ser un calendari de lliurament. Cada vegada que el fabric rota, torna a passar pel mateix lloc. No cal desxifrar res ni trencar AES; cal ser a la sala quan es reparteixen els sobres.

I les claus soles no valdrien gaire sense el mapa. Per això el mateix component s'emporta, al costat del material de clau, les IP públiques i els system-IP dels equips vEdge trets dels búfers de les sessions de control. Clau, i a quin túnel correspon.

Per escriure a /etc/sv cal root. CISA va ficar dos CVE el mateix dia

L'entrada és CVE-2026-20127, un 10,0 amb vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H i CWE-287: fallada de l'autenticació de peering a Catalyst SD-WAN Controller (abans vSmart), Manager (abans vManage) i Validator (abans vBond). Cisco és clar a l'avís: «There are no workarounds that address this vulnerability». La descripció del catàleg KEV afegeix el matís que ho explica tot: l'atacant entra com «an internal, high-privileged, non-root user account» i des d'allà arriba a NETCONF, és a dir, a manipular la configuració del fabric.

Fixa't en el «non-root». Per escriure a /etc/sv/ i remuntar un sistema de fitxers cal root, i Talos no explica com es va fer aquest darrer salt: el seu informe no anomena cap segon CVE. El que sí que és un fet verificable és que CISA va donar d'alta al catàleg KEV, el mateix dia i amb el mateix termini, CVE-2022-20775: publicada el 30 de setembre del 2022, un 7,8 que permet «execute arbitrary commands as the root user» des de la CLI de l'aplicació a un atacant autenticat i local. Que dues altes simultànies encaixin tan bé és, diguem-ho així, una hipòtesi nostra i no una troballa de ningú.

Entre la publicació d'aquest 7,8 i el dia que CISA el va declarar explotat van passar tres anys i gairebé cinc mesos. Ahir mateix miràvem aquí el que passa quan deixes de cinquè un 2,7, i el patró és el de sempre: una puntuació baixa mana la línia al final de la cua de pedaçat, i el dia que apareix a dalt és perquè algú li ha trobat un lloc en una cadena.

Nou entrades al KEV aquest any. Les hem comptat nosaltres

Vam descarregar el catàleg KEV de CISA el 31 d'octubre del 2026 (versió 2026.10.30, 1.766 vulnerabilitats) i vam filtrar per producte. Cisco SD-WAN acumula nou entrades afegides en el que portem del 2026, vuit d'elles amb CVE d'aquest mateix any:

Nou altes entre febrer i setembre sobre el mateix pla de gestió diuen una cosa que una de sola no diu: el controlador és l'objectiu, i fa tot l'any que ho és. Té sentit des del punt de vista de l'atacant. Comprometre una seu et dona una seu. Comprometre el controlador et dona el mapa i la política, i —si l'avaluació de Talos encerta— allò que obre els túnels.

La contramesura es va publicar vuit mesos abans que la prova

El 25 de febrer del 2026 —el mateix dia de l'avís de Cisco i de les dues entrades del KEV— CISA va emetre la Directiva d'Emergència ED 26-03, «Mitigate Vulnerabilities in Cisco SD-WAN Systems». L'inventari de sistemes afectats s'havia de lliurar abans de les 23:59 ET de l'endemà; les actualitzacions, abans de les 17:00 ET del 27 de febrer. Vincula només les agències federals civils dels Estats Units, així que a una empresa d'aquí no l'obliga a res. Però la direcció suplementària que acompanya la directiva, amb la guia de caça i fortificació, conté dues frases que valen igual a Manresa que a Maryland:

El que aquella primera línia significa tècnicament —i això ja ho diem nosaltres, CISA no ho explica així— és deixar de fer passar la clau simètrica pel controlador. I la segona és més dura del que sembla d'entrada: per a qui trobi un compromís de root, la instrucció no és netejar els controladors que té, sinó aixecar-ne de nous des d'imatge del fabricant i moure els extrems. Totes dues estan datades el febrer, quan ningú no havia publicat encara un implant que llegís material de clau dins del controlador. La resposta feia vuit mesos que estava publicada, i gratis, quan va arribar l'anàlisi que explica per a què servia.

Què canvien de debò les claus per parells (i què no)

La diferència està en què viatja. En el mode per defecte, el que el router envia al controlador és la clau. Amb claus per parells, la documentació de Cisco ho descriu així: «IPSec devices share public values from Diffie-Hellman (DH) algorithm with the controllers. The controllers relay the DH public values to authorized peers of the IPsec device as defined by a centralized policy». El que circula pel controlador passen a ser valors públics, i la clau de sessió la deriven els dos extrems. Un implant assegut a SSL_read continua veient passar coses; el que veu ja no obre el túnel.

Ara les pegues, que en té i convé dir-les abans que algú ho activi un divendres:

El correu que enviaríem a qui opera el teu controlador

En molts desplegaments gestionats el pla de control no és a l'inventari del client, perquè no és seu. Això no treu la pregunta, només canvia a qui se li fa. Copia, enganxa i demana resposta per escrit:

Tres acotacions honestes

Primera, sobre l'abast. Cisco parla de «limited exploitation» i els objectius que Talos descriu són serveis espacials i per satèl·lit, tecnologia de defensa i aeroespacial, i recerca de polítiques públiques. Talos hi afegeix, amb alta confiança, que la infraestructura d'aquest actor se solapa de manera considerable amb «Silent Train», la xarxa d'accés encobert de Volt Typhoon. Si tens deu seus i vens material d'oficina, no ets l'objectiu d'aquesta gent. El que sí que hereta tothom, tard o d'hora, són les seves tècniques.

Segona, sobre el fabricant. El setembre vam escriure aquí sobre un 10,0 a l'orquestrador d'un altre fabricant, per un problema diferent i amb el mateix lloc compromès. No estem dient que canviïs de plataforma, i convé recordar per què vas centralitzar el pla de control: és el que permet que una xarxa de cent seus la porti un equip petit, i això continua sent veritat aquesta tarda. Moure's de fabricant per una notícia és la manera més cara de no resoldre res, perquè el que concentra el pla de control es concentra igual al pla de control del següent. No venem llicències de ningú, així que aquesta recomanació no ens dona de menjar.

Tercera, sobre nosaltres. No hem verificat l'implant pel nostre compte: els noms dels components, els fitxers i el mecanisme de persistència surten de la publicació de Talos del 28 d'octubre, i l'atribució del material a AES-256 és una avaluació seva, no un fet confirmat. El que sí que hem fet és comptar el catàleg KEV, posar les dates en ordre i llegir el manual.

On és el secret a la teva xarxa

La pregunta val per a qualsevol malla xifrada, porti el nom que porti: si a la teva xarxa hi ha un lloc pel qual passa, encara que sigui durant un instant, el secret de totes les altres seus, aquell equip mereix l'inventari, el pedaçat, la vigilància d'integritat i el pla de reconstrucció que li donaries a una caixa forta. Avui, a la majoria de desplegaments, el que té és un tiquet d'actualització trimestral.

És la mateixa conversa que vam tenir aquí quan vam mirar dos operadors a la factura i un sol nucli: dos enllaços a la factura no són dos camins si per sota comparteixen un element únic. Allà l'element compartit era el nucli d'un operador. Aquí és el teu mateix controlador, i el que comparteix són les claus.

Nosaltres dissenyem i operem SD-WAN multi-seu i xarxes i comunicacions amb xarxa pròpia —BGP, trànsit, peering—, i als desplegaments que portem el pla de control va a l'inventari com un servei de producció més: amb amo, amb finestra d'actualització i amb un nombre d'hores mesurat per aixecar-lo de zero. Si no saps quin és aquest número a la teva xarxa, escriu-nos i el mesurem, encara que el resultat sigui que tot està bé.

Fonts (consultades el 31 d'octubre del 2026): l'anàlisi del marc KeyDrift, els noms dels seus components (PolyFlame/libdssl.so, LittleFilch/libcommon.so, rsshd, conf_sshd, aaamgrd), el ganxo sobre SSL_read dins de vdaemon i l'extracció de material de clau per a una llista predefinida de nodes de vora —que Talos avalua («assessed») com a material de clau AES-256 d'IPsec distribuït per OMP, no com a fet confirmat— juntament amb les IP públiques i els system-IP dels vEdge, la persistència mitjançant els guions de runit a /etc/sv/sshd/ i /etc/sv/aaamgr/ amb remuntatge de /rootfs.rw, els sectors objectiu i el solapament d'infraestructura amb la xarxa d'accés encobert «Silent Train» de Volt Typhoon són de l'informe de Cisco Talos «Inside KeyDrift: Analyzing historical UAT-11473 activity on Cisco SD-WAN», publicat el 28-10-2026. La puntuació 10,0, el vector, el CWE-287, els productes afectats, les versions corregides, la frase sobre l'absència de solucions alternatives i les dates de primera publicació (25-02-2026) i darrera actualització (28-10-2026) són de l'avís de Cisco cisco-sa-sdwan-rpa-EHchtZk. El cicle de la clau del pla de dades, el valor per defecte de 86.400 segons i el rang de 10 a 1.209.600 són de la guia de configuració de seguretat de Cisco. Les claus per parells, l'intercanvi de valors públics Diffie-Hellman a través dels controladors, la validesa per defecte de 3.600 segons, el reinici necessari i les versions mínimes (SD-WAN 19.2.1 i IOS XE SD-WAN 16.12.1b) són de les pàgines d'IPsec Pairwise Keys de la mateixa documentació. La Directiva d'Emergència ED 26-03 (25-02-2026, actualitzada l'11-03-2026) i la seva direcció suplementària de caça i fortificació són de CISA; d'allà surten les dues frases citades i el termini de les 17:00 ET del 27-02-2026. Les nou entrades de Cisco SD-WAN al catàleg KEV, les seves dates i la descripció del compte intern i de l'accés a NETCONF les hem comptades nosaltres sobre el fitxer JSON del catàleg, versió 2026.10.30. Les dades de CVE-2022-20775 (publicada el 30-09-2022, 7,8, execució d'ordres com a root des de la CLI) són del NVD. El que és nostre, i convé separar-ho: la lectura del rekey de 24 hores com a calendari de lliurament mentre l'implant persisteixi, la hipòtesi que CVE-2022-20775 sigui el segon graó fins a root (Talos no anomena cap segon CVE; l'únic comprovable és que CISA va donar d'alta totes dues el mateix dia), la traducció tècnica de la recomanació de CISA sobre claus per parells, el recompte del KEV, la cronologia febrer-octubre i el correu al proveïdor. Foto de portada: Optical-fiber-distribution-frame-0a, CC BY-SA 3.0, via Wikimedia Commons.