Cisco Nexus 9000: kritische Root-RCE-Lücke CVE-2026-20212 gepatcht
Cisco hat mit dem Advisory cisco-sa-n9k-s1-rce-EH8dEtr eine kritische Schwachstelle in Nexus-9000-Switches mit Silicon-One-ASIC offengelegt. Über die TCP-Ports 43210 und 43211 in der Standard-L3-VRF können Angreifer ohne Authentifizierung Code als root ausführen oder den S1HAL-Prozess zum Absturz bringen. Admins sollten die Erreichbarkeit der Ports sofort prüfen und den Fix über den Cisco Software Checker ermitteln.
Cisco hat am 2. September 2026 das Sicherheitsadvisory cisco-sa-n9k-s1-rce-EH8dEtr veröffentlicht und darin eine kritische Schwachstelle in der Nexus-9000-Serie mit CVE-2026-20212 beschrieben. Betroffen sind Nexus-9000-Switches, die mit dem Silicon-One-ASIC ausgestattet sind. Der Angriffspfad führt über die TCP-Ports 43210 und 43211, die in der Standard-L3-VRF erreichbar sind und dort ohne jede Authentifizierung angesprochen werden können. Ein Angreifer kann speziell präparierte TCP-Pakete an diese Ports senden und dadurch beliebigen Code im S1HAL-Prozess mit root-Rechten ausführen. Alternativ kann derselbe Angriffsweg genutzt werden, um den Prozess gezielt abstürzen zu lassen und damit einen Neustart des Geräts zu erzwingen.
Die Lücke ist mit einem CVSS-Wert von 9,8 bewertet und gilt damit als eine der kritischsten Schwachstellen, die Cisco in diesem Jahr für Nexus-Hardware veröffentlicht hat. Cisco erklärt im Advisory, dass zum Zeitpunkt der Veröffentlichung keine bekannte öffentliche Ausnutzung vorliegt. Das bedeutet nicht Entwarnung: Wegen der fehlenden Authentifizierung und der potenziell vollständigen Kompromittierung ist die Dringlichkeit hoch. Betreiber von Nexus-9000-Umgebungen mit Silicon-One-ASIC sollten als ersten Schritt prüfen, ob die betroffenen Ports aus nicht vertrauenswürdigen Netzen erreichbar sind, und anschließend zügig die passende Fix-Version über den Cisco Software Checker ermitteln und einspielen.
Was ist CVE-2026-20212
CVE-2026-20212 betrifft die Firmware der Nexus-9000-Plattform in Kombination mit dem Silicon-One-ASIC, den Cisco seit einigen Jahren als Nachfolger eigener ASIC-Generationen in Teilen des Nexus-Portfolios einsetzt. Der verwundbare Dienst läuft als S1HAL-Prozess, eine Hardware-Abstraktionsschicht, die zwischen dem Betriebssystem NX-OS und dem Silicon-One-Chip vermittelt. Weil dieser Prozess mit root-Rechten läuft, führt eine erfolgreiche Ausnutzung direkt zur vollständigen Kontrolle über das betroffene Gerät.
Die beiden TCP-Ports 43210 und 43211 sind standardmäßig in der Default-L3-VRF erreichbar. Eine VRF (Virtual Routing and Forwarding) trennt normalerweise Routing-Instanzen voneinander, schützt aber nicht automatisch vor Zugriffen aus demselben Segment. Wer keine zusätzlichen Zugriffskontrolllisten oder Management-Isolation konfiguriert hat, macht diese Ports faktisch für jeden erreichbar, der Layer-3-Konnektivität zum Switch hat.
Technische Details des Angriffs
Laut Cisco genügt es, manipulierte TCP-Pakete an einen der beiden Ports zu senden. Der S1HAL-Prozess verarbeitet diese Pakete offenbar ohne ausreichende Validierung, sodass ein Angreifer entweder eigenen Code zur Ausführung bringen oder den Prozess gezielt zum Absturz bringen kann. Ein Absturz des S1HAL-Prozesses zieht in der Regel einen Neustart des betroffenen Geräts nach sich, was in produktiven Rechenzentrumsnetzen zu Ausfällen und Routing-Unterbrechungen führen kann.
Besonders kritisch ist, dass für den Angriff keine Anmeldedaten notwendig sind. Ein Angreifer muss lediglich Netzwerkzugriff auf die betroffenen Ports haben, etwa über ein kompromittiertes Gerät im selben Segment, eine Fehlkonfiguration in der Netzsegmentierung oder in seltenen Fällen über direkt erreichbare Management-Interfaces. Cisco stuft die Angriffskomplexität entsprechend niedrig ein, was sich im CVSS-Wert von 9,8 widerspiegelt.
Betroffene Systeme
Betroffen sind ausschließlich Nexus-9000-Switches, die mit dem Silicon-One-ASIC ausgestattet sind. Nicht jede Nexus-9000-Variante nutzt diesen Chip, ältere und parallele Modelllinien setzen teilweise auf andere ASIC-Generationen und sind laut Advisory nicht betroffen. Administratoren sollten deshalb nicht pauschal von einer Betroffenheit der gesamten Nexus-9000-Familie ausgehen, sondern die genaue Hardware-Ausstattung ihrer Geräte prüfen.
- Nexus-9000-Switches mit Silicon-One-ASIC sind betroffen
- Die Standard-L3-VRF ist der relevante Angriffsvektor
- TCP-Port 43210 ist einer der beiden verwundbaren Ports
- TCP-Port 43211 ist der zweite verwundbare Port
- Der S1HAL-Prozess läuft mit root-Rechten
- Keine Authentifizierung ist für den Angriff erforderlich
- CVSS-Basiswert liegt bei 9,8
- Cisco meldet zum Advisory-Zeitpunkt keine bekannte öffentliche Ausnutzung
- Erfolgreiche Angriffe können zu Codeausführung als root führen
- Alternativ ist ein erzwungener Prozessabsturz mit Geräte-Neustart möglich
- Die genaue Fix-Version muss individuell über den Cisco Software Checker ermittelt werden
Erste Prüfung für Administratoren
Wer Nexus-9000-Hardware betreibt, sollte als ersten Schritt klären, ob überhaupt Silicon-One-ASIC-Modelle im Einsatz sind. Cisco listet die betroffenen Produkt-IDs im Advisory auf, die über den Befehl show inventory oder vergleichbare NX-OS-Kommandos mit der eigenen Inventarliste abgeglichen werden können. Danach folgt die Prüfung, ob die Ports 43210 und 43211 aus nicht vertrauenswürdigen Netzsegmenten erreichbar sind, etwa mit einem Portscan aus einem separaten Testsegment heraus oder über die vorhandene Firewall- und ACL-Konfiguration.
Parallel dazu sollte jede betroffene Umgebung im Cisco Software Checker gegen die eigene aktuell installierte NX-OS-Version geprüft werden. Cisco veröffentlicht Fix-Versionen produktspezifisch, eine pauschale Versionsangabe für alle Nexus-9000-Modelle mit Silicon-One-ASIC gibt es nicht. Der Software Checker berücksichtigt die konkrete Plattform und liefert die passende Zielversion für das jeweilige Gerät.
Sofortmaßnahmen und Workarounds
Bis das Patchen abgeschlossen ist, sollten Administratoren die Erreichbarkeit der beiden Ports so weit wie möglich einschränken. Dazu gehört eine strikte Zugriffskontrolle auf Management- und Kontrollebene sowie die Trennung von Produktions- und Verwaltungsnetzen, sodass die Default-L3-VRF nicht aus nicht vertrauenswürdigen Segmenten erreichbar ist. Wo möglich, sollten Zugriffe auf die Ports 43210 und 43211 per Access Control List auf bekannte, vertrauenswürdige Quellen begrenzt werden.
- Inventar auf Silicon-One-ASIC-Modelle der Nexus-9000-Serie prüfen
- Erreichbarkeit von TCP 43210 und TCP 43211 aus nicht vertrauenswürdigen Netzen testen
- Zugriff auf die Ports per ACL auf notwendige Quellen begrenzen
- Management-Netz strikt von Produktionssegmenten trennen
- Aktuell installierte NX-OS-Version dokumentieren
- Fix-Version im Cisco Software Checker für die eigene Plattform ermitteln
- Wartungsfenster für das Update priorisiert einplanen
- Nach dem Update erneut auf Erreichbarkeit und Prozessstabilität prüfen
Einordnung und Risiko
Die Kombination aus fehlender Authentifizierung, root-Rechten im betroffenen Prozess und der Erreichbarkeit über eine Standardkonfiguration macht CVE-2026-20212 zu einer Schwachstelle, die in Rechenzentrumsnetzen und Carrier-Umgebungen ernst genommen werden muss. Nexus-9000-Switches mit Silicon-One-ASIC kommen häufig in Backbone- und Spine-Leaf-Architekturen zum Einsatz, wo ein kompromittiertes Gerät weitreichenden Einfluss auf den gesamten Netzwerkverkehr eines Rechenzentrums haben kann. Auch wenn Cisco aktuell keine öffentliche Ausnutzung meldet, ändert sich diese Lage erfahrungsgemäß schnell, sobald technische Details zu einer kritischen Lücke öffentlich diskutiert werden.
Die folgende Tabelle fasst die wichtigsten Eckdaten der Schwachstelle zusammen.
| Merkmal | Angabe |
|---|---|
| CVE-ID | CVE-2026-20212 |
| Cisco-Advisory | cisco-sa-n9k-s1-rce-EH8dEtr |
| Veröffentlichungsdatum | 2. September 2026 |
| CVSS-Basiswert | 9,8 (kritisch) |
| Betroffene Hardware | Nexus 9000 mit Silicon-One-ASIC |
| Angriffsvektor | TCP-Ports 43210 und 43211 in der Standard-L3-VRF |
| Authentifizierung nötig | Nein |
| Betroffener Prozess | S1HAL (läuft als root) |
| Mögliche Folgen | Codeausführung als root oder Prozessabsturz mit Geräte-Neustart |
| Bekannte Ausnutzung | Laut Cisco zum Advisory-Zeitpunkt keine |
| Fix-Version | Individuell über den Cisco Software Checker ermitteln |
Passende Anleitungen auf S-EDV
- Cisco patcht neun kritische Lücken in Crosswork und Secure Workload
- Cisco ASA/FTD: CVE-2026-20349 wird als DoS-Lücke aktiv ausgenutzt
