# KeyDrift Cisco SD-WAN: Talos พบมัลแวร์ขโมยกุญแจบนตัวควบคุม โยงเครือข่าย Silent Train

> KeyDrift Cisco SD-WAN คือมัลแวร์ที่ Cisco Talos เปิดเผย 28 ต.ค. 2026 กลุ่ม UAT-11473 ใช้ช่องโหว่ CVE-2026-20127 คะแนน 10.0 ฝังบนตัวควบคุมเพื่อขโมยกุญแจเข้ารหัส

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-11-01T06:45:00.000Z · อัปเดต: 2026-11-01T06:45:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/keydrift-cisco-sd-wan-uat-11473-silent-train/

## สรุปประเด็นสำคัญ

- Cisco Talos เผยแพร่รายงาน **KeyDrift Cisco SD-WAN** เมื่อ **28 ตุลาคม 2026** ระบุว่ากลุ่ม **UAT-11473** ใช้ **CVE-2026-20127** คะแนน CVSS **10.0** เจาะ Cisco Catalyst SD-WAN แล้วฝังมัลแวร์
- ส่วนประกอบ **LittleFilch** ดักข้อมูล control plane ที่ถอดรหัสแล้วและเก็บข้อมูลที่ Talos ประเมินว่าเป็นกุญแจ **AES-256** ของ IPsec ส่วน **PolyFlame** ทำงานในหน่วยความจำของ vdaemon
- Talos ประเมินด้วยความมั่นใจสูงว่าโครงสร้างพื้นฐานของกลุ่มนี้ซ้อนทับกับ **Silent Train** ซึ่ง Black Lotus Labs ของ Lumen ระบุว่าเป็นเครือข่ายของ Volt Typhoon ที่ติดตามมา **3 ปี**
- Lumen พบ Silent Train ใช้อุปกรณ์มากกว่า **27 ประเภท** เป็นทางผ่าน ประกอบสายทางผ่านได้ในเวลาไม่ถึง **2 นาที** และแจ้งเหยื่อแล้วหลายร้อยราย
- Cisco แก้ใน **20.9.8.2, 20.12.5.3, 20.12.6.1, 20.15.4.2** และ **20.18.2.1** ไม่มี workaround และ CISA บรรจุช่องโหว่นี้ใน KEV ตั้งแต่ **25 กุมภาพันธ์ 2026**

Cisco Talos เผยแพร่รายงานเมื่อวันที่ 28 ตุลาคม 2026 ว่ากลุ่ม UAT-11473 ใช้ช่องโหว่ CVE-2026-20127 เจาะตัวควบคุมแล้วฝังชุดมัลแวร์ที่เรียกว่า KeyDrift Cisco SD-WAN เพื่อเก็บข้อมูลกุญแจเข้ารหัสระยะยาว เป้าหมายที่พบคือบริการอวกาศและดาวเทียม กลาโหม และงานวิจัยนโยบาย แม้ไม่มีรายชื่อเหยื่อในไทย องค์กรที่ใช้ SD-WAN เชื่อมสาขาควรตรวจเวอร์ชันและบันทึกย้อนหลัง

ชื่อรายงานของ Talos ใช้คำว่ากิจกรรมในอดีต (historical) แปลว่าสิ่งที่เปิดเผยรอบนี้คือผลวิเคราะห์การโจมตีที่เกิดไปแล้ว ไม่ใช่ช่องโหว่ใหม่ Cisco เปิดเผย CVE-2026-20127 ตั้งแต่ 25 กุมภาพันธ์ 2026 และวันที่ 28 ตุลาคมปรับประกาศเพียงเพื่อเพิ่มลิงก์รายงานของ Talos แต่เครื่องที่ถูกเจาะก่อนอัปเดตอาจยังมี KeyDrift Cisco SD-WAN ฝังอยู่ การอัปเดตอย่างเดียวจึงไม่ได้ตอบคำถามว่าเครื่องเคยถูกเจาะหรือไม่

## KeyDrift Cisco SD-WAN ทำงานอย่างไร

Talos บอกว่า KeyDrift Cisco SD-WAN ออกแบบมาเพื่ออยู่ในสภาพแวดล้อมของตัวควบคุม SD-WAN โดยเฉพาะ และรันอยู่ภายในโปรเซส control plane ของระบบเอง ทำให้เห็นข้อมูลควบคุมหลังถอดรหัสแล้ว ส่วนประกอบหลักมีดังนี้

| ส่วนประกอบ | หน้าที่ตามรายงานของ Talos |
| --- | --- |
| PolyFlame | โมดูลในหน่วยความจำ ถูกฉีดเข้า vdaemon ทำงานเป็นประตูหลังแบบ TinyShell หรือเป็น C2 ตัวกลาง |
| LittleFilch | ดักที่ SSL_read ใน vdaemon เก็บ IP, system-IP และข้อมูลที่ประเมินว่าเป็นกุญแจ AES-256 ของ IPsec |
| rsshd และ conf_sshd | หา PID ของ vdaemon แล้วฉีด PolyFlame เข้าไป |
| aaamgrd | ตัวโหลดแบบ packed ปลอมเป็นบริการ aaamgr พบบนเครื่อง vBond |

จุดที่น่ากังวลของ KeyDrift Cisco SD-WAN คือกุญแจ ข้อมูลที่ LittleFilch เก็บคือข้อมูลที่ตัวควบคุมแจกจ่ายให้อุปกรณ์สาขาเพื่อเข้ารหัสทราฟฟิก Talos ใช้คำว่า "ประเมินว่า" เป็นกุญแจ data plane และไม่ได้บอกว่าผู้โจมตีถอดรหัสทราฟฟิกของเหยื่อได้จริง แต่ถ้ากุญแจรั่ว ความลับของการเชื่อมต่อระหว่างสาขาก็ควรถือว่าเสี่ยง

Talos ยังพบว่า PolyFlame ไม่มี IP หรือโดเมนของเซิร์ฟเวอร์สั่งการฝังอยู่ในตัว เพราะออกแบบให้รับคำสั่งผ่านทราฟฟิก control plane การกรองด้วยรายการ IP จึงช่วยได้น้อย และมีการแก้เวลาไฟล์เพื่อกลบร่องรอย

![โค้ดสคริปต์ conf_sshd ที่ Talos เผยแพร่ แสดงขั้นตอนหา PID ของ vdaemon ก่อนฉีด PolyFlame](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/keydrift-cisco-sd-wan-uat-11473-silent-train/keydrift-conf-sshd-control-flow.webp?v=2d8ebb75) _(ภาพ: Cisco Talos)_

## CVE-2026-20127 ช่องโหว่ที่เปิดทางให้ KeyDrift Cisco SD-WAN

CVE-2026-20127 เป็นช่องโหว่ใน peering authentication ของ Cisco Catalyst SD-WAN Controller, Manager และ Validator คะแนน CVSS 10.0 ผู้โจมตีจากระยะไกลไม่ต้องล็อกอิน ส่งคำขอที่สร้างขึ้นเองแล้วเข้าระบบด้วยบัญชีภายในสิทธิ์สูงได้ จากนั้นเข้าถึง NETCONF เพื่อแก้คอนฟิกของ SD-WAN fabric กระทบทั้งแบบติดตั้งเองและแบบ Cisco Hosted และไม่มี workaround

CISA บรรจุช่องโหว่นี้ใน KEV ตั้งแต่วันเดียวกับที่ Cisco เปิดเผย ส่วน Lumen ระบุว่า Volt Typhoon ใช้ช่องโหว่นี้ตั้งแต่ปลายปี 2025 และยังโจมตีต่อหลัง Cisco เปิดเผยแล้ว

| สายรุ่น Catalyst SD-WAN | เวอร์ชันแก้ไขแรก |
| --- | --- |
| ก่อน 20.9 | ย้ายไปเวอร์ชันที่แก้แล้ว |
| 20.9 | 20.9.8.2 |
| 20.11 | 20.12.6.1 |
| 20.12 | 20.12.5.3 หรือ 20.12.6.1 |
| 20.13, 20.14, 20.15 | 20.15.4.2 |
| 20.16, 20.18 | 20.18.2.1 |

![ประกาศของ Cisco สำหรับ CVE-2026-20127 ระดับ Critical คะแนน 10.0 และไม่มี workaround](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/keydrift-cisco-sd-wan-uat-11473-silent-train/cisco-sa-sdwan-rpa-advisory-cve-2026-20127.webp?v=47b0f3a6) _(ภาพ: Cisco (ภาพหน้าจอ))_

## ทำไมรายงาน KeyDrift Cisco SD-WAN จึงโยงถึง Volt Typhoon

Talos ประเมินด้วยความมั่นใจสูงว่าโครงสร้างพื้นฐานของ UAT-11473 ซ้อนทับกับ Silent Train อย่างมาก แต่ไม่ได้บอกว่าสองชื่อนี้คือกลุ่มเดียวกัน Silent Train เป็นชื่อที่ Black Lotus Labs ของ Lumen ใช้เรียกเครือข่ายลับของ Volt Typhoon ซึ่ง Lumen ระบุว่าเป็นกลุ่มที่รัฐจีนหนุนหลัง

![แผนภาพของ Black Lotus Labs แสดงสาย Silent Train จาก VPS ผ่านอุปกรณ์ SOHO นอกสหรัฐฯ ก่อนเข้าถึงเหยื่อ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/keydrift-cisco-sd-wan-uat-11473-silent-train/silent-train-chaining-methodology-lumen.webp?v=99999758) _(ภาพ: Lumen Black Lotus Labs)_

Lumen เล่าว่าติดตาม Silent Train มา 3 ปี แจ้งเหยื่อหลายร้อยราย และพบแคมเปญ zero-day ที่ยืนยันแล้ว 4 ครั้งกับที่น่าจะเป็นอีก 1 ครั้ง ทุกครั้งเล็งระบบบริหารจัดการส่วนกลาง เช่น Versa Director, N-able N-Central, Cisco Catalyst SD-WAN และ VeloCloud Orchestrator ซึ่ง Lumen ระบุว่าเป็น SD-WAN ตัวที่สามที่กลุ่มนี้โจมตี

![ไทม์ไลน์ของ Lumen แสดงแคมเปญ zero-day ผ่าน Silent Train รวม Cisco Catalyst SD-WAN ช่วงธันวาคม 2025 ถึงกุมภาพันธ์ 2026](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/keydrift-cisco-sd-wan-uat-11473-silent-train/silent-train-zero-day-campaigns-timeline.webp?v=c7bda8d9) _(ภาพ: Lumen Black Lotus Labs)_

ลักษณะการทำงานคือใช้สายอุปกรณ์ที่ถูกเจาะแบบใช้แล้วทิ้ง Lumen พบอุปกรณ์มากกว่า 27 ประเภท ตั้งแต่เราเตอร์ TP-Link และ Netgear Orbi ไปจนถึงอุปกรณ์ Fortinet ประกอบสายได้ในเวลาไม่ถึง 2 นาที และครึ่งหนึ่งของเซสชันจบภายใน 4.1 ชั่วโมงตามกราฟของ Lumen

![กราฟของ Lumen แสดงว่าเซสชัน Silent Train มีค่ากลางราว 4.1 ชั่วโมงและส่วนใหญ่จบใน 8 ชั่วโมง](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/keydrift-cisco-sd-wan-uat-11473-silent-train/silent-train-session-duration-lumen.webp?v=226197a5) _(ภาพ: Lumen Black Lotus Labs)_

## ทำไมเรื่องนี้สำคัญ

กรณี KeyDrift Cisco SD-WAN ตอบคำถามว่าทำไมกลุ่มนี้เล็งระบบบริหารจัดการ Lumen สรุปว่าเจาะแพลตฟอร์มบริหารจัดการเพียงตัวเดียวก็ได้สิทธิ์ผู้ดูแลอุปกรณ์จำนวนมากโดยไม่ต้องเคลื่อนย้ายในเครือข่ายเลย ในกรณีนี้ตัวควบคุม SD-WAN คือจุดที่เห็นทั้งแผนผังเครือข่าย เส้นทาง และนโยบายของทุกสาขา

![แผนภาพของ Lumen เปรียบเทียบการเจาะทีละเครื่องกับการเจาะแพลตฟอร์มบริหารจัดการเดียวที่ได้สิทธิ์ผู้ดูแลอุปกรณ์จำนวนมาก](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/keydrift-cisco-sd-wan-uat-11473-silent-train/silent-train-control-plane-value-lumen.webp?v=29963160) _(ภาพ: Lumen Black Lotus Labs)_

เหยื่อในรายงานของ Lumen กระจุกอยู่ในสหรัฐฯ และภาคส่วนยุทธศาสตร์ เช่น โทรคมนาคม รัฐบาล กลาโหม และผู้ให้บริการ MSP รายงานไม่ได้เอ่ยถึงไทย องค์กรไทยจึงไม่ควรตีความว่าตกเป็นเป้าโดยตรง แต่แค็ตตาล็อก KEV มีรายการของ Cisco Catalyst SD-WAN ที่เป็นเลข CVE ปี 2026 แล้วอย่างน้อย 8 รายการ ความเสี่ยงจึงไม่จำกัดอยู่แค่เป้าหมายของรัฐ

## สิ่งที่องค์กรควรทำกับ KeyDrift Cisco SD-WAN

- **ตรวจเวอร์ชันทุกตัวควบคุม** Controller, Manager และ Validator ต้องถึงเวอร์ชันในตารางด้านบน
- **ตรวจบันทึกย้อนหลัง** Cisco แนะนำให้ดู `/var/log/auth.log` หา `Accepted publickey for vmanage-admin` จาก IP ที่ไม่รู้จัก แล้วเทียบกับ System IP ในหน้า Manager
- **หาร่องรอยตามรายงาน Talos** เช่นไฟล์ `/var/tmp/vdaemon.bin`, `/tmp/system-vdaemon`, บริการ `/etc/sv/aaamgr/` ที่เป็นไฟล์ ELF และสคริปต์ `run` ของ sshd ที่มีบรรทัดเพิ่ม
- **พบร่องรอยให้เปิดแผนรับมือเหตุการณ์** และติดต่อ Cisco TAC ตามคำแนะนำของ Talos อย่าล้างเครื่องเองก่อนเก็บหลักฐาน และควรปรึกษาเรื่องการเปลี่ยนกุญแจและใบรับรอง
- **ลดการเปิดรับจากภายนอก** Cisco แนะนำให้วาง control component หลังไฟร์วอลล์ อนุญาตเฉพาะโฮสต์ที่เชื่อถือได้ และส่งบันทึกไปเก็บเซิร์ฟเวอร์ภายนอกนานพอสำหรับการสืบสวน

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

รายงานนี้ชี้ว่าระบบบริหารจัดการเครือข่ายเป็นจุดที่องค์กรไทยต้องเฝ้าดูมากกว่าเซิร์ฟเวอร์ทั่วไป และต้องเก็บบันทึกไว้นอกตัวอุปกรณ์ [บริการ Managed Security Services](https://msp.thaidata.cloud/services/managed-security-services/) ของ THAI DATA CLOUD เฝ้าระวัง Log และกิจกรรมด้านความปลอดภัยแบบรวมศูนย์ 24x7x365 และดูแล Firewall ทั้งในสำนักงานและบนคลาวด์ เหมาะกับองค์กรที่ยังไม่มีทีมเฝ้าระวังของตัวเอง (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

ติดตามข่าวช่องโหว่และภัยคุกคามล่าสุดได้ที่[หมวด Security](/security/)

## ภาพบันทึก

![ตัวอย่างสาย Silent Train จาก Lumen ผ่าน UCloud, Alibaba Cloud, TP-Link, Netgear Orbi และ Fortigate](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/keydrift-cisco-sd-wan-uat-11473-silent-train/silent-train-example-chain-lumen.webp?v=36a5d2f7) _(ภาพ: Lumen Black Lotus Labs)_

![กราฟของ Lumen แสดงการเปลี่ยนจาก KV Botnet มาเป็น Silent Train หลังการปราบปรามปลายปี 2023](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/keydrift-cisco-sd-wan-uat-11473-silent-train/silent-train-kv-botnet-transition-lumen.webp?v=3b8204e3) _(ภาพ: Lumen Black Lotus Labs)_

![กราฟของ Lumen แสดงภาคส่วนที่ถูกเล็งผ่าน Silent Train](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/keydrift-cisco-sd-wan-uat-11473-silent-train/silent-train-targeted-sectors-lumen.webp?v=9e377038) _(ภาพ: Lumen Black Lotus Labs)_

## คำถามที่พบบ่อย

### KeyDrift Cisco SD-WAN คืออะไร?

KeyDrift Cisco SD-WAN คือชุดมัลแวร์ที่ Cisco Talos พบบนตัวควบคุม Cisco Catalyst SD-WAN กลุ่ม UAT-11473 ใช้ฝังตัวระยะยาว ดักข้อมูล control plane เก็บข้อมูลกุญแจเข้ารหัส และเปิดประตูหลัง ประกอบด้วยโมดูลหลัก PolyFlame และ LittleFilch

### KeyDrift Cisco SD-WAN เข้าเครื่องได้อย่างไร?

Talos ระบุว่า UAT-11473 ใช้ CVE-2026-20127 ซึ่งเป็นช่องโหว่ข้ามการยืนยันตัวตนใน peering authentication ของ Cisco Catalyst SD-WAN คะแนน CVSS 10.0 ผู้โจมตีจากระยะไกลไม่ต้องล็อกอินก็ได้สิทธิ์ผู้ดูแล Cisco เปิดเผยช่องโหว่นี้เมื่อ 25 กุมภาพันธ์ 2026

### ต้องอัปเดต Cisco Catalyst SD-WAN เป็นเวอร์ชันใด?

เพื่อปิดทางที่ KeyDrift Cisco SD-WAN ใช้ Cisco ระบุเวอร์ชันแก้ไขคือ 20.9.8.2, 20.12.5.3 หรือ 20.12.6.1, 20.15.4.2 และ 20.18.2.1 สาย 20.11 ให้ไป 20.12.6.1 สาย 20.13 และ 20.14 ให้ไป 20.15.4.2 สาย 20.16 ให้ไป 20.18.2.1 และรุ่นก่อน 20.9 ต้องย้ายไปเวอร์ชันที่แก้แล้ว

### องค์กรไทยตรวจ KeyDrift Cisco SD-WAN อย่างไร?

เริ่มจากตรวจ /var/log/auth.log หารายการ Accepted publickey for vmanage-admin จาก IP ที่ไม่รู้จัก เทียบกับ System IP ในหน้า Manager จากนั้นหาไฟล์ /var/tmp/vdaemon.bin และการแก้ไขสคริปต์ runit ถ้าพบให้เปิดแผนรับมือเหตุการณ์และติดต่อ Cisco TAC

### KeyDrift Cisco SD-WAN เกี่ยวข้องกับ Volt Typhoon ไหม?

Talos ไม่ได้บอกว่า UAT-11473 คือ Volt Typhoon แต่ประเมินด้วยความมั่นใจสูงว่าโครงสร้างพื้นฐานของกลุ่มนี้ซ้อนทับกับ Silent Train อย่างมาก ส่วน Lumen ระบุว่า Volt Typhoon ใช้ Silent Train และโจมตี CVE-2026-20127 ตั้งแต่ปลายปี 2025


## แหล่งอ้างอิง

- [Inside KeyDrift: Analyzing historical UAT-11473 activity on Cisco SD-WAN](https://blog.talosintelligence.com/uat-11473-keydrift/) — Cisco Talos
- [Cisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa-EHchtZk) — Cisco
- [Silent Train: uncovering Volt Typhoon's operational framework for zero-day exploitation and strategic access](https://www.lumen.com/blog/en-us/silent-train-volt-typhoon-operational-framework) — Lumen Black Lotus Labs
- [Known Exploited Vulnerabilities Catalog](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA