Black Lotus Labs, el equipo de seguridad de Lumen, publicó el 28 de octubre de 2026 una investigación que vincula a Volt Typhoon con Silent Train, una red cambiante de equipos comprometidos usada para ocultar ataques contra organizaciones de Estados Unidos. Tras tres años de seguimiento, identificó cuatro campañas confirmadas de explotación de vulnerabilidades de día cero y una quinta probable. Los blancos recurrentes fueron plataformas que administran redes y otros sistemas a gran escala.
Por qué el blanco era la plataforma de administración
Según Lumen, los operadores encadenaban equipos comprometidos fuera y dentro de Estados Unidos para que el tráfico llegara a la víctima desde un dispositivo estadounidense. Al concluir la sesión retiraban los rastros del paso por esos equipos. Las conexiones observadas duraban unas cuatro horas en promedio, aunque algunas apenas unos minutos. La infraestructura podía cambiar sin que cambiara el método.
El punto de llegada importa tanto como la ruta. Una plataforma de gestión concentra permisos, inventarios y conexiones con otros dispositivos o clientes. Si cae, el intruso puede alcanzar sistemas que normalmente exigirían varias intrusiones separadas. Lumen identificó cuatro campañas de día cero contra Versa Director, N-able N-central, Cisco Catalyst SD-WAN y VeloCloud Orchestrator. Su análisis califica como probable, con confianza moderada, una quinta campaña que afectó a Quest KACE. Las cuatro campañas confirmadas no equivalen a cuatro fallas individuales: la de N-central implicó dos vulnerabilidades identificadas.
Lumen afirma que envió avisos a cientos de organizaciones en telecomunicaciones, gobierno, defensa y servicios esenciales. Esa cifra cuenta notificaciones, no un número publicado de intrusiones confirmadas. California, Texas y Hawái aparecieron con frecuencia entre los lugares donde observó objetivos, una concentración que la firma interpreta como interés por redes estratégicas vinculadas con el Indo-Pacífico.
Qué confirma Cisco y qué deja abierto
En un informe publicado el mismo 28 de octubre, Cisco Talos documentó que un actor al que llama UAT-11473 explotó la falla CVE-2026-20127 en controladores Cisco Catalyst SD-WAN y colocó componentes de KeyDrift para mantener acceso y obtener información sensible de la plataforma. Talos evalúa con alta confianza que la infraestructura utilizada se solapa considerablemente con Silent Train. Su informe no identifica expresamente a UAT-11473 y Volt Typhoon como un mismo grupo.
La distinción importa para leer ambos trabajos juntos: Lumen atribuye a Volt Typhoon las campañas observadas mediante Silent Train; Cisco aporta un análisis técnico del ataque a su producto y describe el vínculo entre infraestructuras con un alcance más acotado. Black Lotus Labs también advierte que, por la vida breve de las cadenas de equipos, sus observaciones no constituyen un recuento completo de la actividad del grupo.
Para las organizaciones que operan estas plataformas, Lumen recomienda reducir la exposición pública de las interfaces administrativas, aplicar con prioridad las correcciones de seguridad y conservar registros centralizados durante más tiempo. Cisco confirma que ya publicó parches para CVE-2026-20127 y pide buscar indicios de actividad posterior a una posible intrusión. La investigación sitúa el riesgo en los puntos desde los que se administra una red entera, incluidos los accesos confiables hacia terceros.
