Volt Typhoon Silent Train 锁定电信和国防管理平台，Lumen 将四起 CVSS 10.0 零日攻击联系起来

Lumen 旗下 Black Lotus Labs 研究人员披露，与中国相关的黑客组织 Volt Typhoon 在四起已确认的零日攻击活动中使用了名为「Silent Train」的秘密网络。四个 CVE 均已披露并修补，但 Lumen 观察到思科 CVE-2026-20127 在 2 月 25 日披露后仍持续被利用。

Silent Train 的技术特征：短暂设备链、平均每次攻击约四小时后清除所有痕迹

根据 Lumen Black Lotus Labs 的研究说明，Silent Train 的设计目标是尽可能不留痕迹：操作者将受感染的家庭办公室路由器（SOHO）、物联网设备和企业系统连接成攻击中继链，从这条链发起攻击；行动结束后断开连接，并清除活动痕迹，平均每次攻击持续约四小时。

Silent Train 最早于 2023 年下半年被发现；在美国当局于 2024 年初拆除 Volt Typhoon 早期的 KV 僵尸网络后，Silent Train 的活动量增加。研究人员指出，攻击目标是能够管理整个网络的平台，攻破此类系统可使攻击者取得对数千台下游设备的广泛访问权限。

四起零日攻击活动的 CVE 清单：Versa、N-able、Cisco、Arista

根据 Lumen 研究报告，Silent Train 关联的四个 CVE 详细信息如下：

CVE-2024-39717（Versa Director，2024 年 8 月披露）：允许拥有特权访问权限的攻击者上传恶意文件；四家厂商均已发布补丁

CVE-2025-8875 及 CVE-2025-8876（N-able N-central，2025 年）：两个漏洞均需要身份验证；已披露并修补

CVE-2026-20127（Cisco SD-WAN 管理平台，2026 年 2 月 25 日披露，CVSS 10.0）：允许未经身份验证的攻击者获得管理员权限；Lumen 观察到漏洞在披露后仍持续被利用

CVE-2026-16812（Arista VeloCloud Orchestrator，2026 年 7 月 27 日披露，CVSS 10.0）：评级 10.0，已披露并修补

此外，Cryptopolitan 还报道 VeloCloud 的 CVE-2026-114625（CVSS 9.9）已于 10 月 22 日修复，但 Lumen 表示此漏洞与 Silent Train 关联的四个 CVE 不同。

攻击目标为管理平台的战略意义：单一入口可达数千台下游设备

根据 Lumen Black Lotus Labs 的研究警告，「具有广泛管理权限的系统可以成为连接整个组织及其客户的高价值门户」；攻破管理整个网络的平台，攻击者可取得对电信、国防等关键基础设施中数千台下游设备的访问权限，潜在损害范围远超单一组织。

受影响产业涵盖电信、国防、卫星通信、能源、交通运输和水资源，尤其集中于夏威夷、德克萨斯州和加利福尼亚州的目标。Verizon 2026 年报告涵盖逾 31,000 起事件，发现漏洞已成为入侵组织的主要初始路径，系统入侵占已确认安全漏洞的 61%。

IISS 分析与破坏准备迹象：情报价值有限但网络图暗示另有目的

国际战略研究所（IISS）研究员 John Bruce 于 2026 年 1 月的分析报告中指出，Volt Typhoon 攻击目标中的绝大多数网络对中国政府几乎没有外国情报价值；他同时指出，该组织收集的网络图和操作手册显示可能在为破坏活动做准备，关岛因其军事设施在潜在台湾冲突中的重要性而尤其敏感。

Bruce 明确说明，这些是对该组织意图的评估，不是有预谋攻击的确定性证据。IMF 已警告相互关联的金融体系面临日益增长的网络风险；目前尚未有任何市场损失直接归因于 Silent Train 事件。

常见问题

Silent Train 与 Volt Typhoon 过去的 KV 僵尸网络有何关系？

根据 Lumen 研究说明，Silent Train 是在美国当局于 2024 年初拆除 Volt Typhoon 早期的 KV 僵尸网络后，活动量增加的一个后继网络；Silent Train 最早于 2023 年下半年被发现，两者均为 Volt Typhoon 使用的基础设施，但 Silent Train 采用更短暂、更难追踪的设备链设计。

思科 CVE-2026-20127 在披露后为何仍被持续利用？

根据 Lumen 观察，思科 CVE-2026-20127 于 2026 年 2 月 25 日披露并发布补丁后，Lumen 仍监测到 Volt Typhoon 持续利用此漏洞；CVE-2026-20127 的 CVSS 评分为 10.0（最高），允许未经身份验证的攻击者获得管理员权限，在受影响系统尚未完成修补的情况下仍具有高危险性。