CVE-2026-20212 : Faille critique dans Cisco Nexus 9000 permettant une exécution de code à distance sans authentification

Cisco a publié des mises à jour de sécurité pour une vulnérabilité critique affectant certains commutateurs Nexus 9000 Series, qui peut permettre à un attaquant distant non authentifié d’exécuter du code arbitraire avec des privilèges root. Référencé sous CVE-2026-20212 et noté 9,8 sur l’échelle CVSS, le défaut affecte les modèles Nexus 9000 équipés d’un ASIC Cisco Silicon One.

La vulnérabilité provient d’une exposition réseau involontaire dans l’intégration Silicon One. Les ports TCP 43210 et 43211 sont accessibles via l’instance de routage virtuel et de transfert (VRF) par défaut de couche 3, permettant à un attaquant qui peut atteindre l’un des ports de se connecter directement au service vulnérable. Une entrée conçue transmise par le service exposé peut ensuite être exécutée avec des privilèges root.

Une exploitation réussie peut également faire planter le processus S1HAL, forçant potentiellement le commutateur affecté à redémarrer et provoquant une perturbation du réseau. Cisco a déclaré que son Product Security Incident Response Team n’était pas au courant d’une exploitation malveillante ou d’annonces publiques ciblant la faille lors de la publication de l’avis le 2 septembre 2026.

La vulnérabilité est particulièrement significative car les commutateurs Nexus 9000 fonctionnent généralement au centre des réseaux d’entreprise et de centres de données. Un compromis au niveau root pourrait donner à un attaquant un contrôle étendu sur la configuration du réseau et potentiellement créer des opportunités d’interception de trafic, de perturbation de service, de persistance ou de mouvement vers l’infrastructure connectée.

Contactez les ventes

Analyse de CVE-2026-20212

La vulnérabilité est classée comme CWE-1327 : Liaison à une adresse IP non restreinte. Le problème sous-jacent n’est pas une erreur de mise en œuvre de l’authentification, mais l’exposition d’un service privilégié Silicon One par le biais d’interfaces où il ne devrait pas être accessible.

Sous la configuration VRF de couche 3 par défaut, les ports TCP 43210 et 43211 écoutent d’une manière permettant aux systèmes distants d’atteindre le service. Un attaquant n’a pas besoin d’un compte Cisco valide, de justificatifs d’administrateur ou d’un point d’appui existant sur le commutateur. Il lui suffit d’une connectivité réseau à l’une des adresses localement configurées de l’appareil affecté sur l’un des ports vulnérables.

Une fois connecté, un adversaire peut envoyer une entrée spécialement conçue au service exposé. Cisco confirme que cette entrée peut être interprétée et exécutée comme du code avec des privilèges root, donnant effectivement à l’attaquant le plus haut niveau de contrôle du système d’exploitation disponible sur l’appareil.

Les détails les plus importants pour CVE-2026-20212 sont reflétés dans son vecteur CVSS : exploitation basée sur le réseau, complexité d’attaque faible, pas de privilèges requis et pas d’interaction utilisateur. Une exploitation réussie peut avoir un impact élevé sur la confidentialité, l’intégrité et la disponibilité.

CVE-2026-20212 affecte les commutateurs Nexus 9000 contenant un ASIC Silicon One. Cisco répertorie les identifiants de produit suivants comme vulnérables au moment de la divulgation :

• N9324C-SE1U
• N9348Y2C6D-SE1U
• N9364E-SG2-O
• N9364E-SG2-Q
• N9396T12C-SE1
• N9348Y12C-SE1
• N9396Y12C-SE1
• N9336C-SE1
• N9K-C9804
• N9K-C9808

Pour déterminer le PID d’un appareil, utilisez la commande CLI show module. Dans l’exemple suivant, le PID de l’appareil est N9336C-SE1, qui figure sur la liste des appareils touchés par cette vulnérabilité.

L’enregistrement CVE de Cisco répertorie 45 versions NX-OS affectées, à commencer par 10.3(1) et s’étendant à des versions incluant 10.6(3) et 10.6(3s). Étant donné que l’exposition dépend à la fois du modèle de commutateur et de la version NX-OS, les organisations devraient vérifier chaque système à l’aide du vérificateur de logiciels de Cisco plutôt que de se fier uniquement à la plage de versions générales.

Cisco a confirmé que les modèles Nexus 9000 non répertoriés dans l’avis ne sont pas affectés. Les commutateurs Nexus 9000 Fabric fonctionnant en mode Application Centric Infrastructure (ACI) ne sont également pas vulnérables.

Autres produits non affectés confirmés :

• Commutateurs de la série Nexus 3000
• Commutateurs de la série Nexus 7000
• Commutateurs multicouche de la série MDS 9000
• Appareils Cisco Firepower
• Produits pare-feu sécurisés
• Plusieurs plateformes UCS Fabric Interconnect

Cette distinction est importante car la vulnérabilité est spécifiquement liée à l’intégration Silicon One présente dans le matériel Nexus 9000 affecté plutôt qu’au NX-OS dans son ensemble.

L’impact potentiel post-compromise est considérable. Un attaquant opérant en tant que root pourrait théoriquement modifier la configuration du commutateur, interférer avec les services réseau, manipuler le comportement de routage ou de transfert, surveiller le trafic disponible pour l’appareil compromis ou tenter de s’établir de manière persistante. Ce sont des conséquences réalistes d’un compromis d’appareil au niveau root, bien que Cisco n’ait pas signalé une telle activité survenant par le biais de cette vulnérabilité.

L’exploitation peut également avoir un impact immédiat sur la disponibilité sans établir d’accès à long terme. Cisco avertit que les tentatives d’exploitation de la faille peuvent provoquer le crash du processus Hardware Abstraction Layer de Silicon One, S1HAL. Un crash peut entraîner le rechargement de l’appareil entier, interrompant potentiellement la connectivité pour les systèmes dépendant du commutateur affecté.

Cisco a découvert la vulnérabilité en résolvant un dossier de support du Technical Assistance Center. La société n’a pas divulgué la date exacte à laquelle le problème de sécurité sous-jacent a été identifié pour la première fois. L’avis de sécurité public a été émis le 2 septembre 2026.

À partir du 4 septembre, Cisco a déclaré qu’elle n’était pas au courant d’une exploitation malveillante, et les données d’enrichissement de vulnérabilités de la CISA ont classé l’exploitation comme aucune tout en décrivant le problème comme automatisable avec un impact technique total.

Il n’y avait pas non plus de PoC public confirmé pour CVE-2026-20212 identifié dans la divulgation de Cisco ou les deux rapports demandés. L’absence de code d’exploit public ne devrait cependant pas réduire de manière significative la priorité de remédiation, car l’exposition réseau de base et les ports vulnérables sont déjà documentés publiquement.

Cisco n’a pas publié de campagnes spécifiques CVE-2026-20212 IOCs, ce qui est attendu car aucune attaque n’a été confirmée. Les défenseurs devraient plutôt se concentrer sur les tentatives d’accès aux ports TCP 43210 ou 43211, aux événements Live Protect, à l’instabilité inattendue de S1HAL et aux modifications non autorisées survenant sur les appareils affectés.

Mitigation CVE-2026-20212

Cisco a publié un logiciel NX-OS corrigé et recommande fortement de mettre à niveau les commutateurs Nexus affectés. Plutôt que de publier une seule table de versions corrigées dans l’avis, Cisco oriente les clients vers son Vérificateur de logiciels, qui identifie si une version NX-OS spécifique est affectée et renvoie la première version corrigée pour cette plateforme.

Les administrateurs doivent donc :

1. Exécuter la commande show module pour identifier le modèle de commutateur.
2. Confirmer si son PID figure sur la liste des produits vulnérables de Cisco.
3. Déterminer la version NX-OS installée.
4. Utiliser le vérificateur de logiciels de Cisco pour identifier la version corrigée appropriée.
5. Mettre à niveau les systèmes affectés dès que possible d’un point de vue opérationnel.

Pour les organisations qui ne peuvent pas immédiatement mettre à niveau, Cisco propose une solution de contournement d’accès à l’infrastructure par liste de contrôle. Les administrateurs peuvent configurer des iACLs pour permettre uniquement le trafic de gestion et de plan de contrôle requis ou refuser explicitement le trafic TCP destiné à une adresse de commutateur configurée localement sur les ports 43210 et 43211.

Cisco affirme que la solution de contournement a été validée avec succès dans un environnement de test, mais les organisations doivent évaluer son effet sur leur conception de réseau individuelle avant le déploiement. Les atténuations au niveau du réseau peuvent affecter la fonctionnalité attendue lorsqu’elles sont appliquées sans tenir compte de l’architecture locale.

Cisco a également publié Live Protect shield lp00031 comme une mitigation temporaire. Le bouclier bloque les tentatives d’exploiter CVE-2026-20212 pendant que les administrateurs préparent une mise à niveau logicielle complète. Cisco souligne que Live Protect est un pont vers le patch plutôt qu’une solution permanente.

La documentation de Live Protect fournit également un signal de sécurité utile. Les administrateurs peuvent vérifier que le bouclier est en mode application avec :

show nxsecure policy status

Ils peuvent inspecter les événements enregistrés à l’aide de :

show nxsecure log lp00031

Lorsque le bouclier bloque une activité ciblant la vulnérabilité, NX-OS peut générer un syslog critique NXSECURE indiquant un succès contre CVE-2026-20212.

Pour les systèmes affectés exécutant NX-OS 10.6(3), Cisco documente le support pour le bouclier lp00031. Un package séparé est disponible pour les Smart Switches N9324C-SE1U et N9348Y2C6D-SE1U exécutant 10.6(3s). La documentation sur le bouclier de Cisco indique que la mitigation passe à N/A lors de la mise à niveau vers NX-OS 10.6(4) ou supérieur, mais les clients doivent toujours utiliser le vérificateur de logiciels pour confirmer la version corrigée appropriée pour leur combinaison matérielle et logicielle spécifique.

La détection de CVE-2026-20212 devrait commencer par l’identification du matériel affecté et la surveillance de l’accès aux deux ports de service exposés. La télémétrie réseau, les journaux ACL, les données NetFlow, les journaux de commutateur et les systèmes de détection d’intrusion peuvent aider à identifier les tentatives suspectes d’atteindre TCP 43210 ou 43211.

Pour détecter les tentatives d’exploitation de CVE-2026-20212 ou les compromis connexes, les défenseurs devraient enquêter sur :

• Connexions entrantes inattendues aux ports TCP 43210 ou 43211
• Événements Live Protect lp00031
• Messages %APPMGR-2-NXSECURE_CRIT_THREAT associés à la vulnérabilité
• Crashs ou redémarrages inattendus du processus S1HAL
• Recharges imprévues des commutateurs Nexus
• Modifications administratives ou de configuration sans activité autorisée correspondante
• Processus nouveaux ou inhabituels fonctionnant sur le commutateur
• Connexions sortantes inattendues provenant de l’appareil réseau
• Modifications de la configuration des contrôles d’accès, de routage, de transfert ou de gestion
• Tentatives de désactivation de la journalisation ou des contrôles de sécurité après un trafic réseau suspect

Cisco a également publié Règle Snort 67005 en lien avec l’avis, offrant une autre option de détection pour les organisations utilisant des outils de sécurité Cisco compatibles.

Si une activité suspecte est identifiée sur un commutateur non patché, les défenseurs devraient traiter l’événement comme potentiellement sérieux car l’exploitation confère des privilèges root. La réponse aux incidents devrait inclure la validation de la configuration, l’examen du compte administratif, la préservation des journaux, la comparaison avec l’état connu bon de l’appareil, et l’enquête sur les systèmes communicant avec le commutateur affecté.

La priorité de la mitigation de CVE-2026-20212 devrait être particulièrement élevée pour les appareils dont les ports affectés sont accessibles à partir de segments utilisateurs, de réseaux accessibles de l’extérieur ou d’une autre infrastructure non fiable. Bloquer les ports peut réduire considérablement l’exposition immédiate, mais la mise à jour vers le logiciel corrigé de Cisco reste la solution permanente recommandée par le fournisseur.