{"id":51144,"date":"2026-09-04T10:42:08","date_gmt":"2026-09-04T08:42:08","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51144"},"modified":"2026-09-04T10:42:08","modified_gmt":"2026-09-04T08:42:08","slug":"kritische-cisco-nexus-9000-sicherheitsluecke-gefaehrdet-netzwerke","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/kritische-cisco-nexus-9000-sicherheitsluecke-gefaehrdet-netzwerke\/","title":{"rendered":"Kritische Cisco Nexus 9000 Sicherheitsl\u00fccke gef\u00e4hrdet Netzwerke"},"content":{"rendered":"

Eine kritische Sicherheitsl\u00fccke in zehn auf Silicon-One basierenden Cisco Nexus 9000 Switches gef\u00e4hrdet derzeit Unternehmensnetzwerke. Die Schwachstelle mit dem CVE-Eintrag CVE-2026-20212<\/strong> und einem CVSS-Score von 9,8 erm\u00f6glicht es nicht authentifizierten Angreifern, aus der Ferne Code mit Root-Rechten auszuf\u00fchren. Cisco hat Patches ver\u00f6ffentlicht und gleichzeitig ein IOS-XR-Hardening-Release bereitgestellt, das sieben zusammengefasste CVEs adressiert.<\/p>\n

Schwachstelle CVE-2026-20212: Root-Zugriff \u00fcber offene TCP-Ports<\/h2>\n

Der Fehler in den Nexus-9000-Ger\u00e4ten besteht darin, dass sich der betroffene Dienst an eine uneingeschr\u00e4nkte IP-Adresse bindet und dadurch die TCP-Ports 43210 und 43211 im standardm\u00e4\u00dfigen Layer-3-VRF (Virtual Routing and Forwarding) erreichbar macht. Ein Angreifer, der die Switch-Adresse auf einem dieser Ports erreichen kann, stellt direkt eine Verbindung zum Dienst her. Gezielt pr\u00e4parierte Eingaben werden anschlie\u00dfend mit Root-Rechten ausgef\u00fchrt. Ein Exploit kann zudem den S1HAL-Prozess zum Absturz bringen und das Ger\u00e4t neu starten. Cisco ist nach eigenen Angaben zum Zeitpunkt der Ver\u00f6ffentlichung am 2. September kein missbr\u00e4uchlicher Einsatz der L\u00fccke bekannt.<\/p>\n

Betroffene Modelle und tempor\u00e4re Gegenma\u00dfnahmen<\/h2>\n

Die Sicherheitsl\u00fccke betrifft zehn spezifische Produkt-IDs (PIDs), die sich \u00fcber den Befehl show module<\/em> ermitteln lassen: N9324C-SE1U, N9348Y2C6D-SE1U, N9364E-SG2-O, N9364E-SG2-Q, N9396T12C-SE1, N9348Y12C-SE1, N9396Y12C-SE1, N9336C-SE1, N9K-C9804 und N9K-C9808. Andere Nexus-9000-Modelle, Fabric-Switches im ACI-Modus sowie die Baureihen Nexus 3000 und 7000 sind nicht betroffen. Die CVE-Datenbank listet insgesamt 45 NX-OS-Versionen von 10.3(1) bis 10.6(3s) als verwundbar. Bis ein festgelegtes Release verf\u00fcgbar ist, empfiehlt Cisco drei Workarounds:<\/p>\n

    \n
  • Upgrade<\/strong> auf die vom Cisco Software Checker genannte Version; die Live-Protect-Funktion wird nach einem Upgrade auf NX-OS 10.6(4) automatisch deaktiviert.<\/li>\n
  • Infrastructure Access Control List (iACL)<\/strong>: Erlaubt nur notwendigen Management- und Control-Plane-Traffic oder blockiert TCP-Pakete auf den Zielports 43210 und 43211.<\/li>\n
  • Live Protect Shield lp00031<\/strong>: Eine tempor\u00e4re Absicherung, die nur auf NX-OS 10.6(3) und 10.6(3s) (f\u00fcr die beiden Smart Switches) unterst\u00fctzt wird, jedoch nicht auf den Modellen 9804 und 9808 und SSH-, Telnet- oder NX-API-Zugriff voraussetzt.<\/li>\n<\/ul>\n

    Cisco hat keine feste Patch-Tabelle ver\u00f6ffentlicht und verweist auf seinen Software Checker. Das Unternehmen k\u00fcndigte im Juni an, intern gefundene Schwachstellen k\u00fcnftig in zweiw\u00f6chentlichen Abst\u00e4nden als zusammengefasste CVEs zu ver\u00f6ffentlichen, um das Zeitfenster zwischen Offenlegung und Ausnutzung zu verk\u00fcrzen.<\/p>\n

    IOS-XR-Hardening-Release: Sieben CVEs in einem Paket<\/h2>\n

    Parallel zur Nexus-9000-Warnung ver\u00f6ffentlichte Cisco ein IOS-XR-Hardening-Release, das sieben CVEs abdeckt. Dabei wird jedem Common Weakness Enumeration (CWE)-Bucket ein eigenes CVE zugewiesen, das mit dem h\u00f6chsten Schweregrad im Bucket bewertet wird. CVE-2026-20274<\/strong> (Speichersicherheit und Ressourcen-Lebensdauer) und CVE-2026-20279<\/strong> (Access-Control-Probleme, fehlende Authentifizierung und fehlerhafte Zertifikatspr\u00fcfung) erreichen jeweils einen CVSS-Score von 9,8. Die restlichen f\u00fcnf CVEs (CVE-2026-20275<\/strong> bis CVE-2026-20278<\/strong> und CVE-2026-20280<\/strong>) liegen zwischen 8,2 und 8,8. Die Schwachstellen betreffen s\u00e4mtliche IOS-XR-Versionen unabh\u00e4ngig von der Ger\u00e4tekonfiguration.<\/p>\n

    Software Maintenance Updates f\u00fcr IOS XR<\/h3>\n

    F\u00fcr die XR7-Plattformen (Cisco 8000 Series, NCS 1010, NCS 540L, NCS 5700 Series) steht ein dediziertes SMU zur Verf\u00fcgung, das auf allen Releases angewendet werden kann. Insgesamt sind rund 16 SMUs pro Release geplant. K\u00fcnftige Versionen 26.2.2 und 26.3.1 werden die ersten vollst\u00e4ndig gefixten Releases sein, die keine SMUs mehr ben\u00f6tigen. Betreiber, die eine nicht in der offiziellen Tabelle aufgef\u00fchrte Version einsetzen, m\u00fcssen ein Ticket beim Technical Assistance Center (TAC) er\u00f6ffnen. Die folgenden Releases erhalten derzeit SMUs: 6.9.2, 7.3.2, 7.9.2, 7.9.21, 7.10.2, 7.11.2, 7.11.21, 24.2.2, 24.2.21, 24.4.2, 25.2.21, 25.4.1, 25.4.2, 26.1.2 und 26.2.1. F\u00fcr die Versionen 24.1.2, 24.3.2, 25.1.2 und 25.2.2 sind SMUs als zuk\u00fcnftig angek\u00fcndigt. Eine \u00dcberpr\u00fcfung der CVE-Eintr\u00e4ge ergab, dass von insgesamt 111 betroffenen IOS-XR-Releases derzeit 14 SMUs verf\u00fcgbar sind, vier auf SMUs warten und 93 zun\u00e4chst auf ein neueres Release gehoben werden m\u00fcssen, bevor ein Fix eingespielt werden kann.<\/p>\n

    SMU-Identifikatoren nach Funktionsbereich<\/h3>\n

    Cisco ver\u00f6ffentlichte detaillierte SMU-IDs, die je nach betroffenem Protokoll oder Funktionsbereich zugeordnet sind:<\/p>\n

      \n
    • Alle XR7-Plattformen<\/strong>: CSCwv19790 (gilt f\u00fcr alle Releases)<\/li>\n
    • BGP<\/strong>: CSCwu14807 (Versionen 7.10 und \u00e4lter sowie 26.2.1 nicht betroffen)<\/li>\n
    • crypto-ike<\/strong>: CSCwv19170<\/li>\n
    • gRPC<\/strong>: CSCwt41683<\/li>\n
    • IP-SLA<\/strong>: CSCwv19173<\/li>\n
    • IS-IS<\/strong>: CSCwv45645 und CSCwv19171; auf 25.4.2 sowie auf 25.4.1 f\u00fcr NCS1001\/1004\/1010: CSCwu13271 und CSCwv19171; 26.1.2 und 26.2.1 nicht betroffen<\/li>\n
    • MPLS\/MPLS-TE<\/strong>: CSCwv40753 und CSCwu14825; auf 24.2.21 f\u00fcr 64-Bit-ARM-Cisco-8000-Series: CSCwv19181 und CSCwu14825<\/li>\n
    • Multicast<\/strong>: CSCwv19180 und CSCwu08799<\/li>\n
    • OSPF<\/strong>: CSCwv40741 und CSCwv19171; auf 24.2.21 f\u00fcr 64-Bit-ARM-Cisco-8000-Series: CSCwv19174 und CSCwv19171<\/li>\n
    • Segment Routing (IPv6)<\/strong>: CSCwu13268; CSCwv56312 auf 7.11.21, 24.2.21, 25.2.21, 25.4.1 sowie auf 7.9.21 f\u00fcr 64-Bit-ASR-9000-Series und auf 7.3.2 f\u00fcr NCS1002; 26.1.2 und 26.2.1 nicht betroffen<\/li>\n
    • Segment Routing (IPv4 oder IPv4+IPv6)<\/strong>: CSCwv38342; auf 24.2.21 f\u00fcr 64-Bit-ARM-Cisco-8000-Series: CSCwv19178<\/li>\n
    • TCP Authentication Option<\/strong>: CSCwv36143; auf 24.2.21 f\u00fcr 64-Bit-ARM-Cisco-8000-Series: CSCwu14817; auf 6.9.2 f\u00fcr 32-Bit-ASR-9000-Series: CSCww16661<\/li>\n
    • Zero Touch Provisioning (ZTP)<\/strong>: CSCwu36622; 26.2.1 nicht betroffen<\/li>\n<\/ul>\n

      Die SMU CSCwv19171 wird sowohl f\u00fcr IS-IS als auch OSPF verwendet, wie Cisco anmerkte.<\/p>\n

      Hintergrund: Fire-Ant-Angriff auf IOS-XR-Router<\/h2>\n

      Die Sicherheitswarnungen kommen sechs Tage, nachdem die Firma Sygnia einen Angriff des China-nexus-Akteurs Fire Ant auf IOS-XR-Router dokumentierte. Die Bedrohungsgruppe, die erstmals 2025 bekannt wurde, installierte speziell angefertigte Implantate auf den Routern, die Syslog-Zustellung unterdr\u00fcckten, Ausgaben von show<\/em>-Befehlen filterten und einen versteckten GRE-Tunnel etablierten. Die Angreifer erfassten Pakete von Routern, luden sie auf externe FTP-Server hoch und f\u00fchrten Verbindungsversuche sowie Port-Scans gegen angeschlossene Systeme kritischer Infrastruktur durch. Sygnia entdeckte den Angriff \u00fcber einen unerkl\u00e4rlichen Tunnel-Interface auf einem Router, dessen Konfiguration und Commit-Historie keine Erkl\u00e4rung lieferten \u2013 ein Indiz, dass der Ger\u00e4tezustand nicht mehr mit den Aufzeichnungen \u00fcbereinstimmte. Wie die Angreifer initialen Zugang erhielten, blieb unklar; eine konkrete Schwachstelle wurde nicht benannt.<\/p>\n

      Weitere Cisco-Sicherheitsupdates im September<\/h3>\n

      Erg\u00e4nzend zu den Nexus- und IOS-XR-Patches schloss Cisco am selben Tag zwei S\/MIME-Entschl\u00fcsselungsfehler in Secure Email (CVE-2026-20354, CVE-2026-20355, CVSS 5,9), die einem Man-in-the-Middle-Angreifer das Auslesen von Klartext aus Mails zwischen Gateways mit AsyncOS 16.5.0 oder \u00e4lter erm\u00f6glichen. Die Fixes hierf\u00fcr sind nur in den Bug-Eintr\u00e4gen hinterlegt. Zudem wurde eine Denial-of-Service-Schwachstelle (CVE-2026-20281, CVSS 7,5) in Desk Phone 9800, IP Phone 7800\/8800 und Video Phone 8875 behoben, die bei aktiviertem Webzugriff (standardm\u00e4\u00dfig deaktiviert) in Unified Communications Manager ausgenutzt werden kann.<\/p>\n

      Die geb\u00fcndelten Sicherheitsupdates der vergangenen 30 Tage \u2013 darunter IOS-XE- und Catalyst-SD-WAN-Hardening sowie zwei CVSS-10,0-Patches f\u00fcr Crosswork und Secure Workload \u2013 unterstreichen die wachsende Bedrohungslage f\u00fcr Netzwerkinfrastruktur. Administratoren sind gut beraten, die betroffenen Nexus-9000-Modelle unverz\u00fcglich zu identifizieren und die von Cisco bereitgestellten tempor\u00e4ren Schutzma\u00dfnahmen umzusetzen, bis ein endg\u00fcltiger Patch verf\u00fcgbar ist. Die gleichzeitige Ver\u00f6ffentlichung von IOS-XR-SMUs und die Integration der risikobasierten Offenlegung zeigen, dass Cisco auf einen vorhersehbareren und kundenorientierteren Patch-Prozess setzt, um dem beschleunigten Schwachstellen-Exploit durch KI-gest\u00fctzte Angriffe zu begegnen.<\/p>\n","protected":false},"excerpt":{"rendered":"

      Eine kritische Sicherheitsl\u00fccke in zehn auf Silicon-One basierenden Cisco Nexus 9000 Switches gef\u00e4hrdet derzeit Unternehmensnetzwerke. Die Schwachstelle mit dem CVE-Eintrag CVE-2026-20212 und einem CVSS-Score von 9,8 erm\u00f6glicht es nicht authentifizierten Angreifern, aus der Ferne Code mit Root-Rechten auszuf\u00fchren. Cisco hat Patches ver\u00f6ffentlicht und gleichzeitig ein IOS-XR-Hardening-Release bereitgestellt, das sieben zusammengefasste CVEs adressiert. Schwachstelle CVE-2026-20212: Root-Zugriff […]<\/p>\n","protected":false},"author":5,"featured_media":54828,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51144.png","fifu_image_alt":"Kritische Cisco Nexus 9000 Sicherheitsl\u00fccke gef\u00e4hrdet Netzwerke","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51144","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51144.png","fifu_image_alt":"Kritische Cisco Nexus 9000 Sicherheitsl\u00fccke gef\u00e4hrdet Netzwerke","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51144","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51144"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51144\/revisions"}],"predecessor-version":[{"id":51148,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51144\/revisions\/51148"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54828"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51144"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51144"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51144"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}