Cisco Nexus 9000 : une faille critique permet l’exécution de code à distance avec les privilèges root

Cisco a corrigé CVE-2026-20212, une vulnérabilité critique affectant l’intégration Silicon One de dix modèles de commutateurs Nexus 9000 Series. Un attaquant distant et non authentifié peut envoyer des données spécialement conçues au périphérique et exécuter du code avec les privilèges root.

La faille affiche un score de 9,8 sur 10 selon CVSS. Outre la compromission du commutateur, son exploitation peut provoquer le crash du processus S1HAL et entraîner le redémarrage de l’équipement, avec d’éventuelles interruptions du réseau.

Cisco PSIRT a publié l’avis de sécurité le 2 septembre 2026 à 16:00 GMT, en le classant comme version définitive 1.0. L’information a été relayée le 3 septembre 2026.

Deux ports TCP exposent le composant via le VRF par défaut

CVE-2026-20212 dépend de l’accessibilité des ports TCP 43210 et 43211 via le Virtual Routing and Forwarding de couche 3 par défaut, ou L3 VRF, des commutateurs vulnérables.

Un attaquant capable d’atteindre l’une des adresses IP configurées sur le périphérique peut ouvrir une connexion vers ces ports et transmettre des données malveillantes. Le système traite ces données d’une manière qui permet leur exécution sous forme de code avec les privilèges root.

Aucun identifiant, privilège préalable ni interaction d’un administrateur n’est requis. La complexité de l’attaque est également considérée comme faible. Ces caractéristiques expliquent le score CVSS presque maximal :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Le vecteur indique une exploitation via le réseau, sans authentification ni intervention de l’utilisateur. Les conséquences potentielles sont élevées pour la confidentialité, l’intégrité et la disponibilité, tandis que le périmètre de sécurité reste inchangé.

L’avis Cisco ajoute au vecteur les paramètres étendus E:X/RL:X/RC:X, tandis que l’évaluation de base correspond à celle indiquée dans la fiche NVD. Les autres références techniques sont le Cisco Bug ID CSCwu32817 et la classification CWE-1327.

L’exécution de code n’est pas la seule conséquence possible. Les paquets conçus pour exploiter la vulnérabilité peuvent provoquer le crash de S1HAL, le processus associé à la couche d’abstraction matérielle de Silicon One. Cette défaillance peut entraîner le rechargement du commutateur et transformer l’attaque en interruption de service.

Cisco a identifié le problème alors que son Technical Assistance Center traitait un dossier de support. Le PSIRT indique ne pas avoir connaissance d’une exploitation malveillante ni d’autres publications concernant cette vulnérabilité.

Les dix modèles Nexus 9000 vulnérables

La faille ne concerne pas l’ensemble de la famille Nexus 9000. Seuls dix Product ID équipés d’un ASIC Silicon One sont concernés :

• N9324C-SE1U
• N9348Y2C6D-SE1U
• N9364E-SG2-O
• N9364E-SG2-Q
• N9396T12C-SE1
• N9348Y12C-SE1
• N9396Y12C-SE1
• N9336C-SE1
• N9K-C9804
• N9K-C9808

Les administrateurs peuvent identifier le module installé en exécutant la commande suivante depuis la CLI :

show module

Les informations renvoyées comprennent le champ Model, qui doit être comparé à la liste des PID vulnérables. Cisco fournit par exemple le résultat d’un équipement dont le module est identifié comme N9336C-SE1 :

switch# show module
Mod Ports Module-Type                                  Model        Status
--- ----- -------------------------------------------- ------------ --------
1   36    36x40/100G QSFP28 Ethernet Module            N9336C-SE1   ok

Un inventaire reposant uniquement sur le nom général « Nexus 9000 » n’est donc pas suffisant. Il faut vérifier le PID exact de chaque équipement, y compris les châssis et les modules présents dans les infrastructures les plus complexes.

Les plateformes Cisco qui ne sont pas concernées

Cisco a exclu de la vulnérabilité tous les Nexus 9000 autres que les dix modèles indiqués. Les Nexus 9000 Series Fabric Switches utilisés en mode ACI ne sont pas non plus vulnérables.

La liste des familles officiellement considérées comme non concernées comprend également :

• Nexus 3000 Series et Nexus 7000 Series ;
• MDS 9000 Series Multilayer Switches ;
• Firepower 1000, 2100, 4100 et 9300 ;
• Secure Firewall 200, 1200, 3100, 4200 et 6100 ;
• UCS 6300, 6400, 6500 et 6600 Series Fabric Interconnects ;
• UCS X-Series Direct Fabric Interconnect 9108 100G.

Le mode de fonctionnement est déterminant. Un Nexus 9000 utilisé comme Fabric Switch dans une architecture ACI fait explicitement partie des produits exclus, tandis qu’un équipement correspondant à l’un des PID vulnérables doit être contrôlé et mis à jour.

Le correctif est disponible, mais la version doit être vérifiée

Cisco a distribué des mises à jour logicielles pour corriger CVE-2026-20212. Toutefois, aucun numéro unique de release ou de build corrigée, applicable à tous les modèles concernés, n’a été communiqué.

Les administrateurs doivent utiliser le Cisco Software Checker, sélectionner la plateforme et saisir la version NX-OS installée. L’outil renvoie le champ First Fixed, qui correspond à la première release corrigeant la vulnérabilité sélectionnée.

Lorsque plusieurs problèmes de sécurité sont présents sur le périphérique, le champ Combined First Fixed peut également être disponible. Il identifie la première version corrigeant simultanément toutes les vulnérabilités prises en compte par le contrôle.

Avant la mise à niveau, il est également recommandé de consulter les recommandations de Cisco concernant les releases préconisées. La version à installer doit être choisie en fonction du modèle Nexus 9000 concerné, de sa configuration et des exigences opérationnelles du réseau.

La mise à jour vers une release corrigée reste le remède définitif. Les solutions de contournement, les filtres et les protections supplémentaires ne servent qu’à réduire temporairement l’exposition.

Les iACL et Live Protect pour limiter le risque

Lorsqu’une mise à jour immédiate n’est pas possible, Cisco propose une solution de contournement fondée sur une infrastructure access control list, ou iACL. Les règles doivent autoriser uniquement le trafic de gestion et de control plane réellement nécessaire vers le commutateur.

Les iACL peuvent également bloquer explicitement les paquets TCP destinés à une adresse IP locale du périphérique sur les ports suivants :

TCP/43210
TCP/43211

Le filtrage empêche les hôtes non autorisés d’atteindre les services exposés via le L3 VRF par défaut. Il doit être déployé en tenant soigneusement compte de l’architecture de gestion, des réseaux de supervision et des outils qui communiquent légitimement avec le commutateur.

Cisco a testé avec succès la solution de contournement par iACL dans son propre environnement. L’équipementier avertit toutefois que des ACL trop restrictives peuvent perturber certaines fonctionnalités ou dégrader les performances. Les règles doivent donc être validées avant leur déploiement en production.

Un bouclier Live Protect spécifique à CVE-2026-20212 est également disponible dans Cisco NX-OS. Cette protection peut couvrir la période nécessaire à la planification de la maintenance, mais elle ne remplace pas l’installation de la release corrigée.

Contrôles prioritaires pour les administrateurs réseau

Les organisations doivent commencer par établir leur inventaire en exécutant show module sur chaque Nexus 9000 et en recherchant les dix PID concernés. Pour les équipements vulnérables, il faut ensuite relever la release NX-OS et la vérifier avec le Software Checker.

Jusqu’à la mise à jour, il est recommandé de vérifier que les ports TCP 43210 et 43211 ne sont pas accessibles depuis des réseaux qui n’en ont pas besoin. Les connexions vers ces ports doivent également être examinées dans les journaux et les données de télémétrie disponibles, en particulier lorsqu’elles proviennent de segments inattendus.

Aucun indicateur de compromission spécifique n’a été communiqué. Un crash inhabituel de S1HAL ou un reload inexpliqué doivent néanmoins faire l’objet d’une analyse, car ils font partie des effets possibles de l’exploitation, sans toutefois constituer à eux seuls une preuve.

Les informations NVD disponibles ne contiennent aucune indication relative au catalogue CISA Known Exploited Vulnerabilities. Il n’existe donc, à ce stade, ni date d’ajout au KEV ni échéance fédérale de remédiation. Cisco n’a par ailleurs signalé aucune attaque observée.

L’absence d’exploitation connue ne réduit toutefois pas les capacités techniques de la faille : accès à distance, absence d’authentification, privilèges root et possibilité de redémarrer le commutateur imposent une correction rapide sur les équipements effectivement concernés.