CVE-2026-20212: Kritische Schwachstelle in Cisco Nexus 9000 ermöglicht unauthentifizierte Root-RCE

Cisco hat Sicherheitsupdates für eine kritische Schwachstelle herausgegeben, die ausgewählte Nexus 9000 Series Switches betrifft und es einem nicht authentifizierten entfernten Angreifer ermöglichen kann, beliebigen Code mit Root-Rechten auszuführen. Die Schwachstelle, die unter CVE-2026-20212 verfolgt wird und mit 9,8 auf der CVSS-Skala bewertet ist, betrifft Nexus 9000-Modelle, die mit einem Cisco Silicon One ASIC ausgestattet sind.

Die Schwachstelle resultiert aus einer unbeabsichtigten Netzwerkaussetzung in der Silicon One-Integration. TCP-Ports 43210 und 43211 sind über die standardmäßige Layer-3-Virtual-Routing- und -Forwarding (VRF)-Instanz zugänglich, sodass ein Angreifer, der einen der Ports erreichen kann, direkt mit dem anfälligen Dienst verbinden kann. Speziell gestaltete Eingaben, die über den exponierten Dienst gesendet werden, können dann mit Root-Rechten ausgeführt werden.

Eine erfolgreiche Ausnutzung kann auch den S1HAL-Prozess zum Absturz bringen, was möglicherweise dazu führt, dass der betroffene Switch neu geladen wird und eine Netzwerkunterbrechung verursacht. Cisco erklärte, dass das Product Security Incident Response Team bei der Veröffentlichung der Sicherheitswarnung am 2. September 2026 nicht über böswillige Ausnutzung oder öffentliche Ankündigungen zu der Schwachstelle informiert war.

Die Schwachstelle ist besonders signifikant, da Nexus 9000 Switches häufig im Zentrum von Unternehmens- und Rechenzentrumsnetzwerken betrieben werden. Eine Kompromittierung auf Root-Ebene könnte einem Angreifer weitreichende Kontrolle über die Netzwerkkonfiguration geben und möglicherweise Möglichkeiten zur Verkehrsüberwachung, Dienstunterbrechung, Persistenz oder Bewegung in Richtung verbundener Infrastrukturen schaffen.

Vertrieb kontaktieren

CVE-2026-20212 Analyse

Die Schwachstelle wird als CWE-1327: Bindung an eine unbeschränkte IP-Adresse klassifiziert. Das zugrunde liegende Problem ist kein Authentifizierungsimplementierungsfehler, sondern die Aussetzung eines privilegierten Silicon One-Dienstes über Schnittstellen, bei denen er nicht erreichbar sein sollte.

Unter der standardmäßigen Layer-3-VRF-Konfiguration hören die TCP-Ports 43210 und 43211 auf eine Weise, die es entfernten Systemen ermöglicht, den Dienst zu erreichen. Ein Angreifer benötigt kein gültiges Cisco-Konto, Administratoranmeldeinformationen oder einen bestehenden Zugriffspunkt auf dem Switch. Er benötigt lediglich Netzwerkverbindung zu einer der lokal konfigurierten Adressen des betroffenen Geräts auf einem der anfälligen Ports.

Einmal verbunden, kann ein Angreifer speziell gestaltete Eingaben an den exponierten Dienst senden. Cisco bestätigt, dass diese Eingaben interpretiert und als Code mit Root-Rechtenausgeführt werden können, wodurch der Angreifer die höchstmögliche Betriebssystemkontrolle über das Gerät erhält.

Die wichtigsten Details für CVE-2026-20212 spiegeln sich in seinem CVSS-Vektor wider: netzwerkbasierte Ausnutzung, geringe Angriffskomplexität, keine erforderlichen Rechte und keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung kann hohe Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit haben.

CVE-2026-20212 betrifft Nexus 9000 Switches mit einem Silicon One ASIC. Cisco listet die folgenden Produktkennungen als zur Zeit der Veröffentlichung anfällig auf:

• N9324C-SE1U
• N9348Y2C6D-SE1U
• N9364E-SG2-O
• N9364E-SG2-Q
• N9396T12C-SE1
• N9348Y12C-SE1
• N9396Y12C-SE1
• N9336C-SE1
• N9K-C9804
• N9K-C9808

Um die PID eines Geräts zu ermitteln, verwenden Sie den CLI-Befehl show module. Im folgenden Beispiel ist die PID des Geräts N9336C-SE1, das auf der Liste der von dieser Schwachstelle betroffenen Geräte steht.

Die CVE-Aufzeichnung von Cisco listet 45 betroffene NX-OS-Versionen auf, beginnend mit 10.3(1) und einschließlich Versionen bis 10.6(3) und 10.6(3s). Da die Exponierung sowohl vom Switch-Modell als auch von der NX-OS-Version abhängt, sollten Organisationen jedes System über den Software Checker von Cisco überprüfen, anstatt sich nur auf den breiten Versionsbereich zu verlassen.

Cisco hat bestätigt, dass nicht in der Warnung aufgeführte Nexus 9000 Modelle nicht betroffen sind. Nexus 9000 Fabric Switches, die im Application Centric Infrastructure (ACI)-Modus betrieben werden, sind ebenfalls nicht anfällig.

Weitere bestätigte nicht betroffene Produkte sind:

• Nexus 3000 Series Switches
• Nexus 7000 Series Switches
• MDS 9000 Series Multilayer Switches
• Cisco Firepower Appliances
• Secure Firewall Produkte
• Mehrere UCS Fabric Interconnect Plattformen

Diese Unterscheidung ist wichtig, da die Schwachstelle speziell mit der Silicon One-Integration verbunden ist, die in der betroffenen Nexus 9000 Hardware vorhanden ist, und nicht mit NX-OS allgemein.

Die potenzielle Auswirkung nach einer Kompromittierung ist erheblich. Ein Angreifer, der als Root agiert, könnte theoretisch die Switch-Konfiguration ändern, Netzwerkdienste stören, Routing- oder Weiterleitungsverhalten manipulieren, den Verkehr überwachen, der dem kompromittierten Gerät zur Verfügung steht, oder versuchen, Persistenz zu etablieren. Dies sind realistische Konsequenzen einer Kompromittierung auf Geräteebene, obwohl Cisco keine derartige Aktivität über diese Schwachstelle gemeldet hat.

Eine Ausnutzung kann auch ohne die Etablierung eines langfristigen Zugriffs eine unmittelbare Verfügbarkeitsauswirkung haben. Cisco warnt, dass Versuche, die Schwachstelle auszunutzen, den Silicon One Hardware Abstraction Layer-Prozess, S1HAL, zum Absturz bringen können. Ein Absturz kann dazu führen, dass das gesamte Gerät neu lädt, wodurch möglicherweise die Konnektivität für Systeme unterbrochen wird, die vom betroffenen Switch abhängen.

Cisco entdeckte die Schwachstelle, während ein Supportfall im Technischen Assistance Center bearbeitet wurde. Das Unternehmen hat das genaue Datum, an dem das zugrunde liegende Sicherheitsproblem erstmals identifiziert wurde, nicht bekannt gegeben. Die öffentliche Sicherheitswarnung wurde am 2. September 2026.

Seit dem 4. September erklärte Cisco, dass es keine Informationen über böswillige Ausnutzung gibt und dass die Bereicherungsdaten von CISA die Ausnutzung als keine eingestuft haben, wobei das Problem als automatisierbar mit vollständigem technischen Einfluss beschrieben wurde.

Es wurde auch kein bestätigter öffentlicher CVE-2026-20212 PoC in Ciscos Offenlegung oder den beiden angeforderten Berichten identifiziert. Das Fehlen eines öffentlichen Exploit-Codes sollte jedoch die Priorität der Schadensbehebung nicht wesentlich verringern, da die grundlegende Netzwerkaussetzung und die anfälligen Ports bereits öffentlich dokumentiert sind.

Cisco hat keine kampagnenspezifischen CVE-2026-20212 IoCs veröffentlicht, was zu erwarten ist, da keine Angriffe bestätigt wurden. Verteidiger sollten sich stattdessen auf Versuche konzentrieren, auf TCP 43210 oder 43211 zuzugreifen, Live Protect-Ereignisse, unerwartete S1HAL-Instabilität und unautorisierte Änderungen an betroffenen Geräten.

CVE-2026-20212 Minderung

Cisco hat behobene NX-OS-Software veröffentlicht und empfiehlt dringend, betroffene Nexus-Switches zu aktualisieren. Anstatt eine einzige feste Versionstabelle in der Warnung zu veröffentlichen, verweist Cisco Kunden auf seinen Software Checker, der erkennt, ob eine bestimmte NX-OS-Version betroffen ist und die frühestmögliche behobene Version für diese Plattform zurückgibt.

Administratoren sollten daher:

1. show module ausführen, um das Switch-Modell zu identifizieren.
2. Bestätigen, ob seine PID in Ciscos Liste der verwundbaren Produkte erscheint.
3. Die installierte NX-OS-Version ermitteln.
4. Den Cisco Software Checker verwenden, um die geeignete behebbare Version zu identifizieren.
5. Betroffene Systeme so schnell wie betriebsbedingt möglich aktualisieren.

Für Organisationen, die nicht sofort aktualisieren können, bietet Cisco einen Workaround für die Zugriffskontrollliste der Infrastruktur an. Administratoren können iACLs konfigurieren, um nur erforderlichen Verwaltungs- und Kontrollverkehr zuzulassen oder TCP-Datenverkehr, der für eine lokal konfigurierte Switch-Adresse auf den Ports bestimmt ist, explizit zu verweigern. 43210 und 43211.

Cisco erklärt, dass der Workaround in einer Testumgebung erfolgreich validiert wurde, aber Organisationen sollten seine Auswirkungen auf ihr individuelles Netzwerkdesign vor der Bereitstellung evaluieren. Netzwerkminderungen auf Ebene des Netzwerks können die erwartete Funktionalität beeinträchtigen, wenn sie ohne Berücksichtigung der lokalen Architektur angewendet werden.

Cisco hat zudem Live Protect shield lp00031 als zeitweilige Minderung veröffentlicht. Der Schutz blockiert Versuche, CVE-2026-20212 auszunutzen, während Administratoren ein vollständiges Software-Upgrade vorbereiten. Cisco betont, dass Live Protect eine Brücke zum Patching und keine dauerhafte Behebung ist.

Die Live Protect-Dokumentation bietet auch ein nützliches Sicherheitssignal. Administratoren können bestätigen, dass der Schutz im Durchsetzungsmodus mit:

show nxsecure policy status

Sie können aufgezeichnete Ereignisse überprüfen mit:

show nxsecure log lp00031

Wenn der Schutz Aktivitäten blockiert, die auf die Schwachstelle abzielen, kann NX-OS einen kritischen NXSECURE-Syslog generieren, der einen Treffer gegen CVE-2026-20212 anzeigt.

Für betroffene Systeme, die NX-OS 10.6(3) ausführen, dokumentiert Cisco die Unterstützung für den Schutz lp00031. Ein separates Paket ist für die N9324C-SE1U und N9348Y2C6D-SE1U Smart Switches mit 10.6(3s) verfügbar. Die Schutzdokumentation von Cisco gibt an, dass die Minderung auf N/A übergeht, wenn auf NX-OS 10.6(4) oder höher aktualisiert wird, aber Kunden sollten dennoch den Software Checker verwenden, um die korrekte behobene Version für ihre spezifische Hardware- und Softwarekombination zu bestätigen.

Die Erkennung von CVE-2026-20212 sollte mit der Identifizierung betroffener Hardware und der Überwachung des Zugriffs auf die beiden exponierten Dienstports beginnen. Netzwerk-Telemetriedaten, ACL-Protokolle, NetFlow-Daten, Switch-Protokolle und Intrusions-Erkennungssysteme können helfen, verdächtige Versuche zu identifizieren, TCP 43210 oder 43211 zu erreichen.

Um Ausnutzungsversuche von CVE-2026-20212 oder damit verbundene Kompromittierungen zu erkennen, sollten Verteidiger untersuchen:

• Unerwartete eingehende Verbindungen zu den TCP-Ports 43210 oder 43211
• Live Protect lp00031 Trefferereignisse
• %APPMGR-2-NXSECURE_CRIT_THREAT Nachrichten, die mit der Schwachstelle in Verbindung stehen
• Unerwartete Abstürze oder Neustarts des S1HAL-Prozesses
• Ungeplante Nexus-Switch-Neustarts
• Administrative oder Konfigurationsänderungen ohne entsprechende autorisierte Aktivität
• Neue oder ungewöhnliche Prozesse, die auf dem Switch laufen
• Unerwartete ausgehende Verbindungen, die vom Netzwerkgerät ausgehen
• Änderungen an Zugriffssteuerung, Routing, Weiterleitung oder Verwaltungskonfiguration
• Versuche, die Protokollierung oder Sicherheitskontrollen nach verdächtigem Netzwerkverkehr zu deaktivieren

Cisco hat zudem Snort-Regel 67005 im Zusammenhang mit der Warnung veröffentlicht, die eine weitere Erkennungsoption für Organisationen bietet, die kompatible Cisco-Sicherheitstools verwenden.

Wenn auf einem nicht gepatchten Switch verdächtige Aktivitäten identifiziert werden, sollten Verteidiger das Ereignis als potenziell ernst betrachten, da die Ausnutzung Root-Rechte bietet. Die Reaktion auf Zwischenfälle sollte Konfigurationsüberprüfung, administrative Kontenüberprüfung, Protokollaufbewahrung, Vergleich mit einem bekannten guten Gerätezustand und Untersuchung der Systeme umfassen, die mit dem betroffenen Switch kommunizieren.

Die Priorität der CVE-2026-20212-Migration sollte besonders hoch für Geräte sein, deren betroffene Ports von Benutzungssegmenten, öffentlich zugänglichen Netzwerken oder anderen unzuverlässigen Infrastrukturen aus erreichbar sind. Das Blockieren der Ports kann die unmittelbare Exposition erheblich reduzieren, aber die Aktualisierung auf die behobene Software von Cisco bleibt die vom Anbieter empfohlene dauerhafte Lösung.