Segui Cisco ha rilasciato aggiornamenti di sicurezza per una vulnerabilità critica che interessa i selezionati switch Nexus 9000 Series che può consentire a un attaccante remoto non autenticato di eseguire codice arbitrario con privilegi di root. Identificata come CVE-2026-20212 e classificata 9,8 sulla scala CVSS, la falla colpisce i modelli Nexus 9000 dotati di un ASIC Cisco Silicon One.
La vulnerabilità deriva da un’esposizione di rete non intenzionale nell’integrazione di Silicon One. Le porte TCP 43210 e 43211 sono accessibili tramite l’istanza di routing e forwarding virtuale, di default, Layer 3 (VRF) consentendo a un attaccante che può raggiungere una qualsiasi delle porte di connettersi direttamente al servizio vulnerabile. L’input creato è inviato attraverso il servizio esposto può quindi essere eseguito con privilegi di root.
Lo sfruttamento riuscito può anche mandare in crash il processo S1HAL, potenzialmente costringendo lo switch interessato a ricaricarsi e causando un’interruzione della rete. Cisco ha detto che il suo Product Security Incident Response Team non era a conoscenza di sfruttamento malevolo o annunci pubblici che mirassero alla falla al momento in cui l’avviso è stato rilasciato il 2 settembre 2026.
La vulnerabilità è particolarmente significativa perché gli switch Nexus 9000 operano comunemente al centro delle reti aziendali e dei data center. Un compromesso a livello di root potrebbe dare a un attaccante un ampio controllo sulla configurazione della rete e potenzialmente creare opportunità per l’intercettazione del traffico, l’interruzione del servizio, la persistenza o il movimento verso l’infrastruttura connessa.
Analisi CVE-2026-20212
La vulnerabilità è classificata come CWE-1327: Binding to an Unrestricted IP Address. Il problema sottostante non è un errore di implementazione dell’autenticazione ma l’esposizione di un servizio privilegiato di Silicon One tramite interfacce dove non dovrebbe essere raggiungibile.
Sotto la configurazione di default del Layer 3 VRF, le porte TCP 43210 e 43211 ascoltano in un modo che permette ai sistemi remoti di raggiungere il servizio. Un attaccante non ha bisogno di un account valido Cisco, credenziali di amministratore o una presenza esistente sullo switch. Hanno solo bisogno della connettività di rete a uno degli indirizzi configurati localmente del dispositivo interessato su una delle porte vulnerabili.
Una volta connesso, un avversario può inviare input appositamente creati al servizio esposto. Cisco conferma che questo input può essere interpretato ed eseguito come codice con privilegi di root, dando effettivamente all’attaccante il livello più alto di controllo del sistema operativo disponibile sul dispositivo.
I dettagli più importanti per CVE-2026-20212 sono riflessi nel suo vettore CVSS: sfruttamento basato su rete, bassa complessità dell’attacco, nessun privilegio richiesto e nessuna interazione dell’utente. Lo sfruttamento riuscito può avere un alto impatto sulla riservatezza, l’integrità e la disponibilità.
CVE-2026-20212 colpisce gli switch Nexus 9000 contenenti un ASIC Silicon One. Cisco elenca i seguenti identificatori di prodotto come vulnerabili al momento della divulgazione:
- N9324C-SE1U
- N9348Y2C6D-SE1U
- N9364E-SG2-O
- N9364E-SG2-Q
- N9396T12C-SE1
- N9348Y12C-SE1
- N9396Y12C-SE1
- N9336C-SE1
- N9K-C9804
- N9K-C9808
Per determinare il PID di un dispositivo, utilizza il comando show module CLI. Nel seguente esempio, il PID del dispositivo è N9336C-SE1, che è nella lista dei dispositivi affetti da questa vulnerabilità.
Il registro CVE di Cisco elenca 45 versioni NX-OS colpite, a partire dalla 10.3(1) e include versioni come 10.6(3) e 10.6(3s). Poiché l’esposizione dipende sia dal modello dello switch che dalla versione di NX-OS, le organizzazioni dovrebbero verificare ogni sistema tramite il Software Checker di Cisco piuttosto che affidarsi solo all’ampio range di versioni.
Cisco ha confermato che i modelli Nexus 9000 non elencati nell’avviso non sono colpiti. Gli switch Nexus 9000 Fabric operanti in modalità Application Centric Infrastructure (ACI) non sono nemmeno vulnerabili.
Altri prodotti confermati non colpiti includono:
- Switch Nexus 3000 Series
- Switch Nexus 7000 Series
- Switch multilayer MDS 9000 Series
- Apparecchiature Cisco Firepower
- Prodotti Secure Firewall
- Piattaforme di interconnessione UCS Fabric multiple
Questa distinzione è importante perché la vulnerabilità è specificamente legata all’integrazione di Silicon One presente nell’hardware Nexus 9000 interessato piuttosto che a NX-OS in generale.
L’impatto potenziale post-compromissione è sostanziale. Un attaccante che opera come root potrebbe teoricamente modificare la configurazione dello switch, interferire con i servizi di rete, manipolare il comportamento di routing o forwarding, monitorare il traffico disponibile per il dispositivo compromesso o tentare di stabilire la persistenza. Queste sono conseguenze realistiche di un compromesso del dispositivo a livello di root, anche se Cisco non ha riportato attività del genere verificatasi attraverso questa vulnerabilità.
Lo sfruttamento può anche avere un impatto immediato sulla disponibilità senza stabilire un accesso a lungo termine. Cisco avverte che i tentativi di sfruttare la falla possono causare il crash del processo del Silicon One Hardware Abstraction Layer, S1HAL. Un crash può causare il ricaricamento di tutto il dispositivo, interrompendo potenzialmente la connettività per i sistemi che dipendono dallo switch interessato.
Cisco ha scoperto la vulnerabilità risolvendo un caso di supporto del Technical Assistance Center. La società non ha divulgato la data esatta in cui il problema di sicurezza sottostante è stato identificato per la prima volta. Il pubblico avviso di sicurezza è stato emesso il 2 settembre 2026.
Al 4 settembre, Cisco ha affermato di non essere a conoscenza di sfruttamenti malevoli, e i dati di arricchimento delle vulnerabilità di CISA classificavano lo sfruttamento come nessuno descrivendo il problema come automatizzabile con totale impatto tecnico.
Non è stato identificato alcun PoC pubblico CVE-2026-20212 confermato nella divulgazione di Cisco o nei due rapporti richiesti. L’assenza di codice di exploit pubblico non dovrebbe ridurre significativamente la priorità della mitigazione, tuttavia, poiché l’esposizione di base della rete e le porte vulnerabili sono già ampiamente documentate.
Cisco non ha pubblicato IOC specifici per la campagna CVE-2026-20212, il che è previsto poiché non sono stati confermati attacchi. I difensori dovrebbero invece concentrarsi sui tentativi di accesso ai TCP 43210 o 43211, agli eventi Live Protect, all’instabilità S1HAL inaspettata e ai cambiamenti non autorizzati che si verificano sui dispositivi colpiti.
Mitigazione CVE-2026-20212
Cisco ha rilasciato il software NX-OS corretto e raccomanda vivamente di aggiornare gli switch Nexus affetti. Piuttosto che pubblicare una singola tabella di versione corretta nell’avviso, Cisco indirizza i clienti al suo Software Checker, che identifica se una specifica versione di NX-OS è affetta e ritorna la prima versione corretta per quella piattaforma.
Gli amministratori dovrebbero quindi:
- Eseguire il comando show module per identificare il modello di switch.
- Confermare se il suo PID appare nell’elenco dei prodotti vulnerabili di Cisco.
- Determinare la versione di NX-OS installata.
- Usa il Cisco Software Checker per identificare la versione corretta da installare.
- Aggiorna i sistemi affetti appena operativamente possibile.
Per le organizzazioni che non possono aggiornare immediatamente, Cisco fornisce una soluzione iACL per il controllo degli accessi all’infrastruttura. Gli amministratori possono configurare iACL per consentire solo il traffico di gestione e piano di controllo richiesto o negare esplicitamente il traffico TCP destinato a un indirizzo switch configurato localmente sulle porte 43210 e 43211.
Cisco afferma che la soluzione è stata validata con successo in un ambiente di test, ma le organizzazioni dovrebbero valutarne l’effetto sul loro design di rete individuale prima di implementarla. Le mitigazioni a livello di rete possono influire sulla funzionalità attesa se applicate senza considerare l’architettura locale.
Cisco ha inoltre rilasciato Live Protect shield lp00031 come mitigazione temporanea. Lo scudo blocca i tentativi di exploitare CVE-2026-20212 mentre gli amministratori preparano un aggiornamento completo del software. Cisco sottolinea che Live Protect è solo un ponte verso la patch piuttosto che una mitigazione permanente.
Anche la documentazione Live Protect fornisce un utile segnale di sicurezza. Gli amministratori possono verificare che lo scudo sia in modalità di applicazione con:
show nxsecure policy status
Possono ispezionare gli eventi registrati utilizzando:
show nxsecure log lp00031
Quando lo scudo blocca l’attività che prende di mira la vulnerabilità, NX-OS può generare un syslog critico NXSECURE indicante un colpo contro CVE-2026-20212.
Per i sistemi affetti che eseguono NX-OS 10.6(3), Cisco documenta il supporto per lo scudo lp00031. È disponibile un pacchetto separato per gli Smart Switches N9324C-SE1U e N9348Y2C6D-SE1U che eseguono 10.6(3s). La documentazione dello scudo di Cisco afferma che la mitigazione passa a N/A quando si esegue l’aggiornamento a NX-OS 10.6(4) o superiore, ma i clienti dovrebbero comunque utilizzare il Software Checker per confermare la versione corretta per il loro hardware e il loro software specifici.
Il rilevamento di CVE-2026-20212 dovrebbe iniziare con l’identificazione dell’hardware affetto e il monitoraggio dell’accesso alle due porte del servizio esposte. La telemetria di rete, i log delle ACL, i dati NetFlow, i log dei switch e i sistemi di rilevamento delle intrusioni possono aiutare a identificare tentativi sospetti di raggiungere il TCP 43210 o 43211.
Per rilevare tentativi di sfruttamento o compromissioni correlate di CVE-2026-20212, i difensori dovrebbero indagare su:
- Connessioni in entrata inattese alle porte TCP 43210 o 43211
- Eventi di colpi Live Protect lp00031
- Messaggi %APPMGR-2-NXSECURE_CRIT_THREAT associati alla vulnerabilità
- Crash o riavvii inattesi del processo S1HAL
- Riavvii imprevisti degli switch Nexus
- Cambiamenti amministrativi o di configurazione senza una corrispondente attività autorizzata
- Nuovi o insoliti processi in esecuzione sullo switch
- Connessioni in uscita inattese originanti dal dispositivo di rete
- Modifiche alla configurazione di controllo accessi, routing, forwarding o gestione
- Tentativi di disabilitare la registrazione o i controlli di sicurezza a seguito di traffico di rete sospetto
Cisco ha anche pubblicato Regola Snort 67005 in connessione con l’avviso, fornendo un’altra opzione di rilevamento per le organizzazioni che utilizzano gli strumenti di sicurezza Cisco compatibili.
Se si identifica attività sospetta su uno switch non aggiornato, i difensori dovrebbero trattare l’evento come potenzialmente grave perché lo sfruttamento fornisce privilegi di root. La risposta agli incidenti dovrebbe includere la convalida della configurazione, la revisione degli account amministrativi, la conservazione dei log, il confronto con lo stato del dispositivo noto-buono e l’indagine sui sistemi che comunicano con lo switch colpito.
La priorità di mitigazione CVE-2026-20212 dovrebbe essere particolarmente alta per i dispositivi le cui porte affette sono raggiungibili da segmenti utente, reti esternamente accessibili o altra infrastruttura non affidabile. Bloccare le porte può ridurre considerevolmente l’esposizione immediata, ma l’aggiornamento al software corretto di Cisco rimane la soluzione permanente raccomandata dal fornitore.
FAQ
Cos’è CVE-2026-20212 e come funziona?
CVE-2026-20212 è una vulnerabilità critica di esecuzione di codice remoto che colpisce i selezionati switch Cisco Nexus 9000 dotati di ASIC Silicon One. Le porte TCP 43210 e 43211 sono esposte tramite il VRF di default Layer 3, permettendo a un attaccante remoto non autenticato che può raggiungere il servizio di inviare input creati che si eseguono con privilegi di root. Lo sfruttamento può anche mandare in crash il processo S1HAL e causare il riavvio dello switch.
Quando è stato scoperto per la prima volta CVE-2026-20212?
Cisco non ha divulgato la data esatta di scoperta. L’azienda ha identificato la vulnerabilità mentre risolveva un caso di supporto del Cisco Technical Assistance Center e l’ha divulgata pubblicamente il 2 settembre 2026.
Qual è l’impatto di CVE-2026-20212 sui sistemi?
Lo sfruttamento riuscito dà a un attaccante remoto non autenticato l’esecuzione di codice a livello di root sullo switch Nexus colpito. Ciò può risultare in un completo compromesso del dispositivo e può esporre la configurazione di rete, il traffico e l’infrastruttura connessa. Lo sfruttamento può anche mandare in crash S1HAL e ricaricare lo switch, causando un’interruzione del servizio.
CVE-2026-20212 può ancora colpirmi nel 2026?
Sì. I selezionati switch Nexus 9000 basati su Silicon One rimangono vulnerabili se eseguono una versione NX-OS colpita e non hanno ricevuto il software corretto di Cisco. Cisco elenca 10 identificatori di prodotto Nexus 9000 affetti e decine di versioni NX-OS vulnerabili. Gli amministratori dovrebbero usare il Cisco Software Checker per determinare se la combinazione esatta del loro dispositivo e versione richiede un aggiornamento.
Come posso proteggermi da CVE-2026-20212?
Aggiorna gli switch Nexus colpiti alle versione NX-OS corretta raccomandata dal Cisco Software Checker. Fino a quando un aggiornamento può essere completato, limita l’accesso con iACL che bloccano il TCP 43210 e 43211 e implementa lo scudo Live Protect di Cisco dove supportato. Le organizzazioni dovrebbero anche monitorare quelle porte, la stabilità S1HAL, gli avvisi Live Protect e l’attività di configurazione inattesa per segni di tentato sfruttamento.
