Eine kritische Sicherheitslücke in zehn auf Silicon-One basierenden Cisco Nexus 9000 Switches gefährdet derzeit Unternehmensnetzwerke. Die Schwachstelle mit dem CVE-Eintrag CVE-2026-20212 und einem CVSS-Score von 9,8 ermöglicht es nicht authentifizierten Angreifern, aus der Ferne Code mit Root-Rechten auszuführen. Cisco hat Patches veröffentlicht und gleichzeitig ein IOS-XR-Hardening-Release bereitgestellt, das sieben zusammengefasste CVEs adressiert.
Schwachstelle CVE-2026-20212: Root-Zugriff über offene TCP-Ports
Der Fehler in den Nexus-9000-Geräten besteht darin, dass sich der betroffene Dienst an eine uneingeschränkte IP-Adresse bindet und dadurch die TCP-Ports 43210 und 43211 im standardmäßigen Layer-3-VRF (Virtual Routing and Forwarding) erreichbar macht. Ein Angreifer, der die Switch-Adresse auf einem dieser Ports erreichen kann, stellt direkt eine Verbindung zum Dienst her. Gezielt präparierte Eingaben werden anschließend mit Root-Rechten ausgeführt. Ein Exploit kann zudem den S1HAL-Prozess zum Absturz bringen und das Gerät neu starten. Cisco ist nach eigenen Angaben zum Zeitpunkt der Veröffentlichung am 2. September kein missbräuchlicher Einsatz der Lücke bekannt.
Betroffene Modelle und temporäre Gegenmaßnahmen
Die Sicherheitslücke betrifft zehn spezifische Produkt-IDs (PIDs), die sich über den Befehl show module ermitteln lassen: N9324C-SE1U, N9348Y2C6D-SE1U, N9364E-SG2-O, N9364E-SG2-Q, N9396T12C-SE1, N9348Y12C-SE1, N9396Y12C-SE1, N9336C-SE1, N9K-C9804 und N9K-C9808. Andere Nexus-9000-Modelle, Fabric-Switches im ACI-Modus sowie die Baureihen Nexus 3000 und 7000 sind nicht betroffen. Die CVE-Datenbank listet insgesamt 45 NX-OS-Versionen von 10.3(1) bis 10.6(3s) als verwundbar. Bis ein festgelegtes Release verfügbar ist, empfiehlt Cisco drei Workarounds:
- Upgrade auf die vom Cisco Software Checker genannte Version; die Live-Protect-Funktion wird nach einem Upgrade auf NX-OS 10.6(4) automatisch deaktiviert.
- Infrastructure Access Control List (iACL): Erlaubt nur notwendigen Management- und Control-Plane-Traffic oder blockiert TCP-Pakete auf den Zielports 43210 und 43211.
- Live Protect Shield lp00031: Eine temporäre Absicherung, die nur auf NX-OS 10.6(3) und 10.6(3s) (für die beiden Smart Switches) unterstützt wird, jedoch nicht auf den Modellen 9804 und 9808 und SSH-, Telnet- oder NX-API-Zugriff voraussetzt.
Cisco hat keine feste Patch-Tabelle veröffentlicht und verweist auf seinen Software Checker. Das Unternehmen kündigte im Juni an, intern gefundene Schwachstellen künftig in zweiwöchentlichen Abständen als zusammengefasste CVEs zu veröffentlichen, um das Zeitfenster zwischen Offenlegung und Ausnutzung zu verkürzen.
IOS-XR-Hardening-Release: Sieben CVEs in einem Paket
Parallel zur Nexus-9000-Warnung veröffentlichte Cisco ein IOS-XR-Hardening-Release, das sieben CVEs abdeckt. Dabei wird jedem Common Weakness Enumeration (CWE)-Bucket ein eigenes CVE zugewiesen, das mit dem höchsten Schweregrad im Bucket bewertet wird. CVE-2026-20274 (Speichersicherheit und Ressourcen-Lebensdauer) und CVE-2026-20279 (Access-Control-Probleme, fehlende Authentifizierung und fehlerhafte Zertifikatsprüfung) erreichen jeweils einen CVSS-Score von 9,8. Die restlichen fünf CVEs (CVE-2026-20275 bis CVE-2026-20278 und CVE-2026-20280) liegen zwischen 8,2 und 8,8. Die Schwachstellen betreffen sämtliche IOS-XR-Versionen unabhängig von der Gerätekonfiguration.
Software Maintenance Updates für IOS XR
Für die XR7-Plattformen (Cisco 8000 Series, NCS 1010, NCS 540L, NCS 5700 Series) steht ein dediziertes SMU zur Verfügung, das auf allen Releases angewendet werden kann. Insgesamt sind rund 16 SMUs pro Release geplant. Künftige Versionen 26.2.2 und 26.3.1 werden die ersten vollständig gefixten Releases sein, die keine SMUs mehr benötigen. Betreiber, die eine nicht in der offiziellen Tabelle aufgeführte Version einsetzen, müssen ein Ticket beim Technical Assistance Center (TAC) eröffnen. Die folgenden Releases erhalten derzeit SMUs: 6.9.2, 7.3.2, 7.9.2, 7.9.21, 7.10.2, 7.11.2, 7.11.21, 24.2.2, 24.2.21, 24.4.2, 25.2.21, 25.4.1, 25.4.2, 26.1.2 und 26.2.1. Für die Versionen 24.1.2, 24.3.2, 25.1.2 und 25.2.2 sind SMUs als zukünftig angekündigt. Eine Überprüfung der CVE-Einträge ergab, dass von insgesamt 111 betroffenen IOS-XR-Releases derzeit 14 SMUs verfügbar sind, vier auf SMUs warten und 93 zunächst auf ein neueres Release gehoben werden müssen, bevor ein Fix eingespielt werden kann.
SMU-Identifikatoren nach Funktionsbereich
Cisco veröffentlichte detaillierte SMU-IDs, die je nach betroffenem Protokoll oder Funktionsbereich zugeordnet sind:
- Alle XR7-Plattformen: CSCwv19790 (gilt für alle Releases)
- BGP: CSCwu14807 (Versionen 7.10 und älter sowie 26.2.1 nicht betroffen)
- crypto-ike: CSCwv19170
- gRPC: CSCwt41683
- IP-SLA: CSCwv19173
- IS-IS: CSCwv45645 und CSCwv19171; auf 25.4.2 sowie auf 25.4.1 für NCS1001/1004/1010: CSCwu13271 und CSCwv19171; 26.1.2 und 26.2.1 nicht betroffen
- MPLS/MPLS-TE: CSCwv40753 und CSCwu14825; auf 24.2.21 für 64-Bit-ARM-Cisco-8000-Series: CSCwv19181 und CSCwu14825
- Multicast: CSCwv19180 und CSCwu08799
- OSPF: CSCwv40741 und CSCwv19171; auf 24.2.21 für 64-Bit-ARM-Cisco-8000-Series: CSCwv19174 und CSCwv19171
- Segment Routing (IPv6): CSCwu13268; CSCwv56312 auf 7.11.21, 24.2.21, 25.2.21, 25.4.1 sowie auf 7.9.21 für 64-Bit-ASR-9000-Series und auf 7.3.2 für NCS1002; 26.1.2 und 26.2.1 nicht betroffen
- Segment Routing (IPv4 oder IPv4+IPv6): CSCwv38342; auf 24.2.21 für 64-Bit-ARM-Cisco-8000-Series: CSCwv19178
- TCP Authentication Option: CSCwv36143; auf 24.2.21 für 64-Bit-ARM-Cisco-8000-Series: CSCwu14817; auf 6.9.2 für 32-Bit-ASR-9000-Series: CSCww16661
- Zero Touch Provisioning (ZTP): CSCwu36622; 26.2.1 nicht betroffen
Die SMU CSCwv19171 wird sowohl für IS-IS als auch OSPF verwendet, wie Cisco anmerkte.
Hintergrund: Fire-Ant-Angriff auf IOS-XR-Router
Die Sicherheitswarnungen kommen sechs Tage, nachdem die Firma Sygnia einen Angriff des China-nexus-Akteurs Fire Ant auf IOS-XR-Router dokumentierte. Die Bedrohungsgruppe, die erstmals 2025 bekannt wurde, installierte speziell angefertigte Implantate auf den Routern, die Syslog-Zustellung unterdrückten, Ausgaben von show-Befehlen filterten und einen versteckten GRE-Tunnel etablierten. Die Angreifer erfassten Pakete von Routern, luden sie auf externe FTP-Server hoch und führten Verbindungsversuche sowie Port-Scans gegen angeschlossene Systeme kritischer Infrastruktur durch. Sygnia entdeckte den Angriff über einen unerklärlichen Tunnel-Interface auf einem Router, dessen Konfiguration und Commit-Historie keine Erklärung lieferten – ein Indiz, dass der Gerätezustand nicht mehr mit den Aufzeichnungen übereinstimmte. Wie die Angreifer initialen Zugang erhielten, blieb unklar; eine konkrete Schwachstelle wurde nicht benannt.
Weitere Cisco-Sicherheitsupdates im September
Ergänzend zu den Nexus- und IOS-XR-Patches schloss Cisco am selben Tag zwei S/MIME-Entschlüsselungsfehler in Secure Email (CVE-2026-20354, CVE-2026-20355, CVSS 5,9), die einem Man-in-the-Middle-Angreifer das Auslesen von Klartext aus Mails zwischen Gateways mit AsyncOS 16.5.0 oder älter ermöglichen. Die Fixes hierfür sind nur in den Bug-Einträgen hinterlegt. Zudem wurde eine Denial-of-Service-Schwachstelle (CVE-2026-20281, CVSS 7,5) in Desk Phone 9800, IP Phone 7800/8800 und Video Phone 8875 behoben, die bei aktiviertem Webzugriff (standardmäßig deaktiviert) in Unified Communications Manager ausgenutzt werden kann.
Die gebündelten Sicherheitsupdates der vergangenen 30 Tage – darunter IOS-XE- und Catalyst-SD-WAN-Hardening sowie zwei CVSS-10,0-Patches für Crosswork und Secure Workload – unterstreichen die wachsende Bedrohungslage für Netzwerkinfrastruktur. Administratoren sind gut beraten, die betroffenen Nexus-9000-Modelle unverzüglich zu identifizieren und die von Cisco bereitgestellten temporären Schutzmaßnahmen umzusetzen, bis ein endgültiger Patch verfügbar ist. Die gleichzeitige Veröffentlichung von IOS-XR-SMUs und die Integration der risikobasierten Offenlegung zeigen, dass Cisco auf einen vorhersehbareren und kundenorientierteren Patch-Prozess setzt, um dem beschleunigten Schwachstellen-Exploit durch KI-gestützte Angriffe zu begegnen.
