CVE-2026-20212: 重大なCisco Nexus 9000の欠陥、認証されていないルートRCEを可能にする

Ciscoは、選択されたNexus 9000シリーズスイッチに影響を与える重要な脆弱性に対するセキュリティ更新をリリースしました。この脆弱性により、認証されていないリモート攻撃者がルート権限で任意コードを実行できる可能性があります。CVE-2026-20212として追跡され、CVSSスケールで9.8と評価されたこの欠陥は、Cisco Silicon One ASICを搭載したNexus 9000モデルに影響を与えます。

この脆弱性は、Silicon One統合における意図しないネットワーク露出に起因します。TCPポート 43210および43211 は、デフォルトのレイヤー3仮想ルーティングおよび転送（VRF）インスタンスを通じてアクセス可能であり、いずれかのポートに到達できる攻撃者が脆弱なサービスに直接接続できます。露出したサービスを通じて送信された巧妙に細工された入力は、ルート権限で実行される可能性があります。

成功した悪用はまた、S1HALプロセスをクラッシュさせ、影響を受けたスイッチを再ロードさせ、ネットワークの混乱を引き起こす可能性があります。Ciscoは、2026年9月2日にアドバイザリが発表された際、この欠陥を標的とした悪意のある悪用や公表された発表を認識していませんでした。

この脆弱性は特に重要です。なぜなら、Nexus 9000スイッチは企業およびデータセンターネットワークの中心で一般的に動作しているからです。ルートレベルの危殆化は、攻撃者にネットワーク構成の広範な制御を与え、トラフィックの傍受、サービスの混乱、永続性、または接続されたインフラストラクチャへの移動の機会を生み出す可能性があります。

販売に問い合わせ

CVE-2026-20212分析

この脆弱性は、CWE-1327：制限されていないIPアドレスへのバインディングとして分類されています。根本的な問題は認証の実装エラーではなく、シリコンワンサービスが到達すべきでないインターフェースを通じて露出していることです。

デフォルトのレイヤー3 VRF構成の下では、TCPポート43210および43211がサービスに到達できるリモートシステムを許す方法でリッスンします。攻撃者は有効なCiscoアカウント、管理者資格情報、またはスイッチ上の既存の足場を必要としません。彼らは、脆弱なポートのいずれかで影響を受けたデバイスのローカルに構成されたアドレスへのネットワーク接続だけを必要とします。

接続されると、敵対者は露出されたサービスに特別に細工された入力を送信できます。Ciscoは、この入力がコードとして解釈され、実行される可能性があることを確認しています。 ルート権限で、攻撃者にデバイスで利用可能な最高レベルのオペレーティングシステム制御を効果的に与えます。

CVE-2026-20212の最も重要な詳細は、そのCVSSベクトルに反映されています：ネットワークベースの攻撃、低攻撃の複雑さ、特権は不要で、ユーザの対話は不要です。成功した悪用は、機密性、整合性、可用性に大きな影響を与える可能性があります。

CVE-2026-20212は、Silicon One ASICを含むNexus 9000スイッチに影響を与えます。Ciscoは、公開時に脆弱である製品識別子として以下を一覧しています：

• N9324C-SE1U
• N9348Y2C6D-SE1U
• N9364E-SG2-O
• N9364E-SG2-Q
• N9396T12C-SE1
• N9348Y12C-SE1
• N9396Y12C-SE1
• N9336C-SE1
• N9K-C9804
• N9K-C9808

デバイスのPIDを特定するには、show module CLIコマンドを使用します。以下の例では、デバイスのPIDはN9336C-SE1で、この脆弱性の影響を受けるデバイスのリストにあります。

CiscoのCVE記録では、10.3(1)から、10.6(3)や10.6(3s)を含むリリースまでの45の影響を受けるNX-OSリリースがリストされています。露出はスイッチモデルとNX-OSバージョンの両方に依存するため、組織は広範囲のバージョン範囲のみに頼るのではなく、Ciscoのソフトウェアチェッカーで各システムを確認する必要があります。

Ciscoは、アドバイザリに記載されていないNexus 9000モデルは影響を受けないことを確認しました。アプリケーションセントリックインフラストラクチャ（ACI）モードで動作するNexus 9000ファブリックスイッチも脆弱ではありません。

他に確認された影響を受けていない製品は次の通りです：

• Nexus 3000シリーズスイッチ
• Nexus 7000シリーズスイッチ
• MDS 9000シリーズマルチレイヤスイッチ
• Cisco Firepowerアプライアンス
• セキュアファイアウォール製品
• 複数のUCSファブリックインターコネクトプラットフォーム

この区別は、脆弱性が影響を受けるNexus 9000ハードウェアに存在するSilicon One統合に特有であり、NX-OS全体に普遍的ではないため、重要です。

危殆化後の潜在的影響は重大です。ルートとして動作する攻撃者は、理論的にはスイッチの構成を変更したり、ネットワークサービスに干渉したり、ルーティングまたは転送動作を操作したり、危殆化されたデバイスで利用可能なトラフィックを監視したり、永続性を確立しようとしたりする可能性があります。これらは、Ciscoがこの脆弱性を通じて発生したと報告していないものの、ルートレベルデバイスの危殆化の現実的な結果です。

悪用はまた、長期的なアクセスを確立せずに即座の可用性への影響をもたらす可能性があります。Ciscoは、この欠陥を悪用しようとする試みがSilicon Oneハードウェア抽象層プロセス、S1HALをクラッシュさせる可能性があると警告しています。クラッシュはデバイス全体をリロードさせ、影響を受けたスイッチに依存するシステムに接続の中断を引き起こす可能性があります。

Ciscoは、テクニカルアシスタンスセンターサポートケースを解決する際にこの脆弱性を発見しました。同社は、根本的なセキュリティ問題が最初に特定された正確な日付を公開していません。公開されたセキュリティアドバイザリは 2026年9月2日.

2026年9月4日現在、Ciscoは悪意のある悪用を認識しておらず、CISAの脆弱性強化データは悪用を なし として分類し、問題を総合的な技術的影響を持つ自動化可能なものと説明しています。

Ciscoの開示や二つの要求された報告書には、CVE-2026-20212の公証されたPoCは確認されていません。ただし、基本的なネットワークの露出と脆弱なポートが既に公的に文書化されているため、公開された攻撃コードの不在が修正の優先順位を著しく減少させるべきではありません。

Ciscoは、確認された攻撃がないため、キャンペーン固有のCVE-2026-20212のIOCを公開していません。防御者は、TCP 43210または43211へのアクセスの試み、Live Protectイベント、予期しないS1HALの不安定さ、および影響を受けたデバイスで発生する無許可の変更に焦点を当てるべきです。

CVE-2026-20212の緩和策

Ciscoは修正済みNX-OSソフトウェアをリリースし、影響を受けたNexusスイッチのアップグレードを強く推奨しています。アドバイザリに単一の修正バージョン表を掲載するのではなく、Ciscoは顧客を ソフトウェアチェッカーに誘導し、特定のNX-OSバージョンが影響を受けるかどうかを特定し、そのプラットフォーム用の最も早い修正リリースを返します。

管理者は次の手順に従うべきです：

1. show moduleを実行してスイッチモデルを特定します。
2. そのPIDがCiscoの脆弱な製品リストに表示されるかどうかを確認します。
3. インストールされているNX-OSリリースを特定します。
4. Cisco Software Checkerを使用して適切な修正済みリリースを特定します。
5. 影響を受けたシステムを可能な限り早くアップグレードします。

直ちにアップグレードできない組織には、Ciscoはインフラストラクチャアクセスコントロールリストの回避策を提供しています。管理者は、必要な管理と制御プレーントラフィックのみを許可するようiACLを構成したり、ローカルに構成されたスイッチアドレスのポートに向けられたTCPトラフィックを明示的に拒否することができます 43210および43211.

Ciscoは、ワークアラウンドがテスト環境で正常に検証されたと述べていますが、組織は展開前に個々のネットワーク設計への影響を評価する必要があります。ネットワークレベルの緩和策は、ローカルアーキテクチャを考慮せずに適用された場合、予想される機能に影響を与える可能性があります。

Ciscoはさらに、 Live Protectシールドlp00031 を一時的な緩和策としてリリースしました。このシールドは、管理者が完全なソフトウェアアップグレードを準備している間に、CVE-2026-20212を悪用しようとする試みをブロックします。Ciscoは、Live Protectが恒久的な修正ではなく、修補への橋渡しであることを強調しています。

Live Protectドキュメントは、有用なセキュリティシグナルも提供します。管理者は、次を使用してシールドが施行モードにあることを確認できます：

show nxsecure policy status

記録されたイベントを次を使用して検査できます：

show nxsecure log lp00031

シールドが脆弱性を標的とした活動をブロックすると、NX-OSはCVE-2026-20212に対するヒットを示すクリティカルなNXSECURE syslogを生成できます。

影響を受けたシステムがNX-OS 10.6(3)を実行している場合、Ciscoはシールドlp00031のサポートを文書化しています。別のパッケージが、10.6(3s)を実行しているN9324C-SE1UおよびN9348Y2C6D-SE1Uスマートスイッチ用に利用可能です。Ciscoのシールド文書は、NX-OS 10.6(4)以上にアップグレードする際に緩和策がN/Aへ移行すると述べていますが、顧客は特定のハードウェアとソフトウェアの組み合わせで正しい修正済みリリースを確認するために、ソフトウェアチェッカーを引き続き使用する必要があります。

CVE-2026-20212検出は、影響を受けるハードウェアの特定と、2つの露出されたサービスポートへのアクセスの監視から始めるべきです。ネットワークのテレメトリ、ACLのログ、NetFlowデータ、スイッチのログ、および侵入検知システムは、TCP 43210または43211に到達する怪しい試みを特定するのに役立ちます。

CVE-2026-20212の悪用の試みや関連する危殆化を検出するために、防御者は次を調査すべきです：

• TCPポート43210または43211への予期しない着信接続
• Live Protect lp00031のヒットイベント
• 脆弱性に関連する%APPMGR-2-NXSECURE_CRIT_THREATメッセージ
• S1HALプロセスの予期しないクラッシュまたは再起動
• 予定外のNexusスイッチの再ロード
• 対応する許可された活動のない管理または構成の変更
• スイッチ上で実行される新しいまたは異常なプロセス
• ネットワークデバイスから発信される予期しない外部接続
• アクセス制御、ルーティング、転送、または管理構成の変更
• 疑わしいネットワークトラフィックに続いて、ログまたはセキュリティコントロールを無効にしようとする試み

Ciscoはまた、アドバイザリに関連して Snortルール67005 を公開し、互換性のあるCiscoセキュリティツールを使用する組織に別の検出オプションを提供しています。

未修正のスイッチで怪しい活動が特定された場合、防御者はその出来事を潜在的に深刻なものとして扱うべきです。なぜなら、悪用によってルート権限が提供されるためです。インシデントレスポンスには、構成の妥当性確認、管理アカウントのレビュー、ログの保存、既知の良好なデバイス状態との比較、および影響を受けたスイッチと通信しているシステムの調査が含まれるべきです。

CVE-2026-20212の緩和の優先順位は、影響を受けたポートがユーザセグメント、外部アクセス可能なネットワーク、または他の信頼できないインフラストラクチャから到達可能なデバイスにとって特に高くなければなりません。ポートをブロックすることは、即時の露出を大幅に減少させることができますが、Ciscoの修正済みソフトウェアへのアップグレードが推奨される永久的な解決策です。