To åpne porter gir kjøring av kode som root på Cisco Nexus 9000

Cisco publiserte 2. september 2026 et sikkerhetsvarsel om CVE-2026-20212, en kritisk sårbarhet i Nexus 9000-svitsjer som er utstyrt med Silicon One-brikker. CVSS-verdien er 9,8. Årsaken er at TCP-portene 43210 og 43211 er nåbare gjennom standard L3 VRF. En angriper uten pålogging kan sende tilpassede data til en berørt enhet og kjøre vilkårlig kode med rotrettigheter. Utnyttelse kan også få prosessen S1HAL til å krasje, slik at svitsjen starter på nytt.

Cisco har gitt ut programvareoppdateringer og anbefaler oppgradering til en rettet NX-OS-versjon. Som midlertidig tiltak kan tilgangen til de to portene begrenses med infrastruktur-ACL-er, eller Ciscos Live Protect-skjold kan tas i bruk. Cisco PSIRT oppgir at de ikke kjenner til offentlig utnyttelse eller ondsinnet bruk på tidspunktet varselet ble publisert.

Hva det betyr for deg som drifter datasenternettet

Nexus 9000 står i kjernen av mange datasentre, og root på en slik svitsj er kontroll over trafikken mellom alt den kobler sammen. To porter som ikke burde vært nåbare fra rutingdomenet, er nåbare, og det holder for å kjøre kode. Stenger du dem med ACL-er, kjøper du tid, men oppgraderingen er den eneste varige rettingen. At Cisco ikke kjenner til utnyttelse, sier noe om nå og ikke om neste uke, siden varselet i seg selv forteller angripere hvor de skal lete.

Vi ser to spørsmål du bør stille med en gang. Hvilke av svitsjene dine har Silicon One, og hvem kan nå de to portene i dag? Svaret på det andre avgjør tempoet. Er portene bare nåbare fra et administrasjonsnett med streng adgang, kan oppgraderingen planlegges. Er de nåbare fra produksjonsnett eller fra internett, er dette en hastesak. En svitsj som starter på nytt under et utnyttelsesforsøk tar dessuten med seg alt som henger på den.

Berigo anbefaler

• Finn ut hvilke Nexus 9000-svitsjer i nettet som har Silicon One-brikker, og hvilken NX-OS-versjon de kjører.
• Kartlegg hvem som kan nå TCP-portene 43210 og 43211 gjennom standard L3 VRF, og steng tilgangen med ACL-er til oppgraderingen er gjort.
• Oppgrader til en rettet NX-OS-versjon i det første vinduet dere har, og prioriter svitsjer som er nåbare fra mindre betrodde nett.
• Overvåk for uventede omstarter og krasj i S1HAL-prosessen, som kan være tegn på utnyttelsesforsøk.
• Oppdater beredskapsplanen med hva som skjer i tjenestene dine dersom en kjernesvitsj faller ut.