# Vulnérabilité Cisco SD-WAN : exploitation par des acteurs liés à Volt Typhoon

_Publié le 29 octobre 2026 — https://ip73.fr/2026/10/29/vulnerabilite-cisco-sd-wan-exploitation-par-des-acteurs-lies-a-volt/_

Des acteurs malveillants, dont l'infrastructure chevauche celle de Volt Typhoon, ont exploité une faille critique dans les contrôleurs SD-WAN de Cisco pour injecter le malware KeyDrift, selon les rapports de Cisco Talos. Cette vulnérabilité, identifiée sous le nom de CVE-2026-20127, permet à un attaquant d'accéder à des privilèges administratifs à distance, et ce, sans avoir besoin de fournir d'identifiants. Le score CVSS est de 10.

Cisco avait émis un avis de sécurité en février 2026 concernant cette faille dans les composants comme le Catalyst SD-WAN Controller, le Manager ou le Validator. Le mécanisme d'authentification par *peering* n'était pas correctement implémenté. Un attaquant pouvait exploiter cette faiblesse en envoyant des requêtes spécialement construites. Un succès permettait de se connecter comme un utilisateur interne disposant de hautes permissions, donnant ensuite accès à NETCONF, outil qui permet de manipuler l'architecture complète du réseau SD-WAN.

## L'ombre de Volt Typhoon et l'espionnage ciblé

Il ne s'agit pas d'un simple abus de service. Les recherches de Black Lotus Labs, qui surveille le réseau « Silent Train » depuis fin 2023, montrent que ce réseau, utilisé par Volt Typhoon pour cibler des entités américaines, semble être en lien avec cette exploitation. Talos a estimé avec une forte certitude que l'infrastructure des acteurs attaquant avec KeyDrift « chevauche considérablement le réseau d'accès furtif Silent Train de Volt Typhoon ». Il ne dit pas que les deux groupes sont identiques, mais le recoupement est significatif.

Ce malware, KeyDrift, est conçu pour assurer une persistance auprès des opérateurs. Son module principal, PolyFlame, agit comme une porte dérobée capable de relayer des commandes vers d'autres machines en tant que nœud C2 intermédiaire. Quant à LittleFilch, il est chargé de récolter les matériaux de chiffrement, ce qui signifie que les attaquants peuvent siphonner les clés protégeant le trafic au niveau du plan de données. Les cibles identifiées par Lumen incluent des opérateurs télécoms, des entreprises de défense, des fournisseurs de satellites et des entités gouvernementales. Ces secteurs sont névralgiques en période de crise géopolitique, notamment dans la région Indo-Pacifique.

## La menace de l'exploitation persistante

Lumen a noté que Volt Typhoon utilisait cette vulnérabilité CVE-2026-20127 bien après la divulgation initiale par Cisco. Leur stratégie, axée sur les plateformes de gestion et les systèmes du plan de contrôle, vise clairement à s'établir durablement dans l'infrastructure d'une organisation. Au-delà de l'espionnage lié aux opérations militaires, des documents sur les structures réseau et les opérations militaires auraient été exfiltrés, selon Mike Horka, chercheur chez Lumen. 

Les conséquences sont lourdes : la capacité à lire le trafic chiffré d'un réseau entier, sans jamais avoir besoin de passer par une authentification valide, est un atout majeur pour les services de renseignement. L'absence de contournement officiel, soulignée par Cisco, rend la mise à jour indispensable.

## Que faire maintenant

Pour les administrateurs de systèmes impactés, l'action est immédiate. Il faut impérativement appliquer les mises à jour logicielles fournies par Cisco pour corriger le défaut de *peering* d'authentification. En attendant, Cisco conseille vivement aux équipes d'auditer méticuleusement les fichiers `auth.log` sur les contrôleurs exposés. Il faut vérifier les entrées d'acceptation de clés publiques pour des connexions venant d'adresses IP inconnues, et comparer ces adresses avec l'inventaire des systèmes autorisés dans l'interface de gestion. Si un doute persiste sur une connexion, l'article de Cisco insiste sur la nécessité d'utiliser la commande `admin-tech` pour préparer un dossier à fournir au Centre d'Assistance Technique (TAC) de Cisco.

## Fiche technique

| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-20127 | Cisco Catalyst SD-WAN Controller and Manager | Critique (CVSS 10,0) | Oui (KEV, 25 février 2026) | Voir l’avis de l’éditeur |

*Données : [NVD](https://nvd.nist.gov/) (NIST), [catalogue KEV de la CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) (CC0) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).*

## Sources

- [Cisco SD-WAN Zero-Day Exploitation Tied to Volt Typhoon’s ‘Silent Train’ Network](https://www.securityweek.com/cisco-sd-wan-zero-day-exploitation-tied-to-volt-typhoons-silent-train-network/), SecurityWeek, 29 octobre 2026
- [Hackers exploit Cisco SD-WAN flaw to deploy custom KeyDrift malware](https://www.bleepingcomputer.com/news/security/hackers-exploit-cisco-sd-wan-flaw-to-deploy-custom-keydrift-malware/), BleepingComputer, 29 octobre 2026
- [Hackers Exploited Cisco SD-WAN Flaw to Plant Malware Built to Steal Encryption Keys](https://thehackernews.com/2026/10/hackers-exploited-cisco-sd-wan-flaw-to.html), The Hacker News, 29 octobre 2026
- [Avis de sécurité (sec.cloudapps.cisco.com)](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa-EHchtZk), sec.cloudapps.cisco.com, 25 février 2026
- [GHSA-p4cq-46q3-jr7w](https://github.com/advisories/GHSA-p4cq-46q3-jr7w) : A vulnerability in the peering authentication in Cisco Catalyst SD-WAN Controller…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-20127](https://nvd.nist.gov/vuln/detail/CVE-2026-20127), NVD (NIST)
- [CVE-2026-20127 dans le catalogue KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-20127), CISA