Cisco schließt kritische Root-Lücke in Nexus-Switches : CVE-2026-20212 erlaubt Remote-Code-Ausführung ohne Anmeldung – auch IOS XR braucht umfassende Updates

Cisco hat Anfang September mehrere sicherheitsrelevante Aktualisierungen für zentrale Netzwerkplattformen veröffentlicht. Besonders kritisch ist CVE-2026-20212 in zehn auf Silicon One basierenden Nexus-9000-Modellen. Die Schwachstelle erreicht 9,8 von 10 Punkten im Common Vulnerability Scoring System (CVSS) und ermöglicht unter bestimmten Voraussetzungen eine nicht authentifizierte Remote-Code-Ausführung mit Root-Rechten.

Parallel dazu hat Cisco für IOS XR einen umfangreichen sogenannten Hardening Release bereitgestellt. Dieser bündelt sieben Common Vulnerabilities and Exposures (CVEs), von denen zwei ebenfalls mit einem maximalen Schweregrad von 9,8 bewertet sind. Betroffen sind zahlreiche Versionen, unabhängig von der konkreten Gerätekonfiguration.

Die zeitliche Dimension ist dabei nicht nebensächlich. Cisco-Sicherheitschef Russ Smoak hatte bereits im Juni gewarnt: „Das Zeitfenster zwischen Offenlegung und Ausnutzung ist praktisch verschwunden.“ Gerade bei Routern und Switches ist das problematisch, weil sie häufig zentrale Kommunikationspfade kontrollieren und damit weitreichende Rechte innerhalb einer Infrastruktur besitzen.

Nexus 9000: Ein erreichbarer Dienst genügt

Die Ursache von CVE-2026-20212 liegt in einer fehlerhaften Netzwerkbindung. Ein interner Dienst bindet sich an eine nicht ausreichend eingeschränkte IP-Adresse und ist dadurch über die TCP-Ports 43210 und 43211 erreichbar. Diese Ports stehen in der standardmäßigen Layer-3-Virtual-Routing-and-Forwarding-Instanz (VRF) zur Verfügung. VRFs dienen grundsätzlich dazu, Routing-Tabellen logisch voneinander zu trennen. Ein Netzwerkgerät kann dadurch mehrere voneinander isolierte virtuelle Routing-Instanzen betreiben. Problematisch wird es, wenn ein eigentlich interner oder administrativer Dienst an einer Adresse lauscht, die über eine allgemeiner erreichbare VRF angesprochen werden kann.

Genau hier setzt der Angriff an: Kann ein Angreifer die IP-Adresse des Switches auf einem der beiden Ports erreichen, kann er sich direkt mit dem betroffenen Dienst verbinden. Eine Anmeldung ist nicht erforderlich. Speziell präparierte Eingaben werden anschließend als Programmcode mit Root-Rechten ausgeführt. Damit erhält ein erfolgreicher Angreifer die höchste Berechtigungsstufe des zugrunde liegenden Systems.

Die Schwachstelle ist damit deutlich gravierender als ein klassischer Denial-of-Service-Fehler. Ein Angreifer könnte nicht nur den Dienst stören, sondern grundsätzlich auch eigene Befehle ausführen, Prozesse manipulieren oder weitere Angriffsschritte vorbereiten. Zusätzlich kann ein Ausnutzungsversuch den Prozess S1HAL zum Absturz bringen. Das kann einen Reload und damit eine vorübergehende Unterbrechung des Switch-Betriebs verursachen.

Zehn Nexus-Modelle betroffen

Cisco nennt folgende Produktkennungen:

• N9324C-SE1U (Nexus Smart Switch)
• N9348Y2C6D-SE1U (Nexus Smart Switch)
• N9364E-SG2-O
• N9364E-SG2-Q
• N9396T12C-SE1
• N9348Y12C-SE1
• N9396Y12C-SE1
• N9336C-SE1
• N9K-C9804
• N9K-C9808

Andere Nexus-9000-Modelle sind nach Angaben des Herstellers nicht betroffen. Ebenfalls ausgenommen sind Nexus-9000-Fabric-Switches, die im Application-Centric-Infrastructure-Modus (ACI) betrieben werden, sowie die Nexus-3000- und Nexus-7000-Serien.

Der CVE-Datensatz führt nach der im Ausgangstext beschriebenen Prüfung insgesamt 45 betroffene NX-OS-Versionen von 10.3(1) bis 10.6(3s) auf. Cisco selbst veröffentlicht im Advisory allerdings keine einfache Tabelle mit allen festen Zielversionen, sondern verweist auf den Software Checker. Betreiber müssen daher den konkreten Hardware- und Softwarestand individuell prüfen.

Patch, Filter oder temporärer Schutz

Cisco nennt drei Möglichkeiten, das Risiko zu reduzieren. Erste Wahl ist ein Upgrade auf eine korrigierte NX-OS-Version, die der Cisco Software Checker für das jeweilige Gerät nennt. Die Release Notes des Live-Protect-Shields weisen darauf hin, dass dessen Betriebsmodus ab NX-OS 10.6(4 oder höher) nicht mehr benötigt wird. Das deutet darauf hin, dass die Korrektur dort bereits in die Software integriert ist.

Als temporäre Maßnahme empfiehlt Cisco eine Infrastructure Access Control List (iACL). Sie sollte entweder ausschließlich tatsächlich benötigten Management- und Control-Plane-Verkehr zulassen oder TCP-Verbindungen zu lokal konfigurierten IP-Adressen auf den Zielports 43210 und 43211 explizit blockieren.

Technisch verhindert eine solche ACL jedoch nicht die Schwachstelle selbst. Der fehlerhafte Dienst bleibt vorhanden; lediglich seine Erreichbarkeit wird eingeschränkt. Eine falsch konfigurierte iACL kann zudem legitimen Steuer- oder Managementverkehr blockieren. Cisco empfiehlt deshalb ausdrücklich, entsprechende Regeln zunächst in einer Testumgebung zu validieren.

Als weitere Übergangslösung steht das Live Protect Shield lp00031 zur Verfügung. Diese Schutzschicht unterstützt NX-OS 10.6(3) sowie über ein separates Paket 10.6(3s) auf den beiden Smart-Switch-Modellen. Für Nexus 9804 und 9808 ist sie dagegen nicht verfügbar. Außerdem setzt sie administrativen Zugriff über SSH, Telnet oder NX-API voraus.

IOS XR: Cisco bündelt Schwachstellen neu

Parallel zur Nexus-Lücke hat Cisco ein umfangreiches Hardening-Paket für IOS XR veröffentlicht. Bemerkenswert ist dabei weniger nur die Anzahl der Fehler als die Art ihrer Veröffentlichung. Cisco fasst mehrere Einzelprobleme nach Kategorien der Common Weakness Enumeration (CWE) zusammen. Jeder CWE-Gruppe wird eine übergeordnete CVE zugewiesen. Der CVSS-Wert dieser CVE entspricht dem schwerwiegendsten Fehler innerhalb des jeweiligen Bündels. Das bedeutet: Eine einzelne CVE steht hier nicht zwangsläufig für eine einzige konkrete Schwachstelle, sondern kann mehrere Fehler derselben technischen Kategorie abdecken. Betreiber müssen deshalb genauer prüfen, welche Komponenten und Funktionen ihres Systems innerhalb eines CVE-Bündels betroffen sind. Besonders kritisch sind:

• CVE-2026-20274 – umfasst Fehler bei Speichersicherheit und Lebensdauer von Ressourcen
• CVE-2026-20279 – umfasst Zugriffskontrollfehler, darunter fehlende Authentifizierung kritischer Funktionen und mangelhafte Zertifikatsprüfung

Beide erreichen einen maximalen CVSS-Wert von 9,8. Die übrigen fünf CVEs – CVE-2026-20275 bis CVE-2026-20278 sowie CVE-2026-20280 – liegen zwischen 8,2 und 8,8 Punkten. Laut Cisco betreffen die Schwachstellen sämtliche IOS-XR-Releases unabhängig von der konkreten Gerätekonfiguration.

SMUs statt einfachem Komplett-Update

Die Behebung erfolgt bei vielen IOS-XR-Versionen über sogenannte Software Maintenance Updates (SMUs). Dabei handelt es sich um gezielte Softwarepakete, mit denen einzelne Komponenten oder Fehler korrigiert werden können, ohne zwangsläufig einen vollständigen Versionswechsel durchführen zu müssen.

Cisco weist allerdings darauf hin, dass je Release möglicherweise „ungefähr 16 SMUs“ verfügbar sind. Das verdeutlicht den administrativen Aufwand: Ein Betreiber muss nicht nur feststellen, ob seine Version betroffen ist, sondern auch, welche Funktionen genutzt werden und welche SMUs konkret erforderlich sind. Aktuell nennt Cisco SMUs für folgende Releases:

• 6.9.2
• 7.3.2
• 7.9.2
• 7.9.21
• 7.10.2
• 7.11.2
• 7.11.21
• 24.2.2
• 24.2.21
• 24.4.2
• 25.2.21
• 25.4.1
• 25.4.2
• 26.1.2
• 26.2.1

Für 24.1.2, 24.3.2, 25.1.2 und 25.2.2 werden SMUs erst als zukünftige Releases geführt. IOS XR 26.2.2 und 26.3.1 sollen dagegen die ersten Versionen sein, in denen die Korrekturen bereits vollständig enthalten sind und keine zusätzlichen SMUs erforderlich sind.

BGP, OSPF, MPLS und weitere Kernfunktionen betroffen

Die betroffenen Bereiche reichen tief in zentrale Routing- und Netzwerktechnologien hinein. Cisco führt unter anderem folgende funktionale Bereiche und SMU-Kennungen auf:

• Alle XR7-(LNT)-Plattformen: CSCwv19790
• BGP: CSCwu14807
• crypto-ike: CSCwv19170
• gRPC: CSCwt41683
• IP-SLA: CSCwv19173
• IS-IS: CSCwv45645 und CSCwv19171
• MPLS und MPLS-TE: CSCwv40753 und CSCwu14825
• Multicast: CSCwv19180 und CSCwu08799
• OSPF: CSCwv40741 und CSCwv19171
• Segment Routing, nur IPv6: CSCwu13268 beziehungsweise versionsabhängig CSCwv56312
• Segment Routing, IPv4 beziehungsweise IPv4/IPv6: CSCwv38342
• TCP Authentication Option: CSCwv36143
• Zero Touch Provisioning (ZTP): CSCwu36622

Je nach Plattform und Softwarestand gelten zusätzliche Sonderfälle. So sind bestimmte Releases bei BGP oder Segment Routing nicht betroffen, während für andere Plattformen abweichende SMU-Kennungen gelten. Der Fehler CSCwv19171 betrifft laut Cisco sowohl IS-IS als auch OSPF.

Für 93 Versionen reicht ein SMU nicht aus

Besonders relevant für die Praxis ist die Verteilung der verfügbaren Fehlerkorrekturen. Von 111 als betroffen aufgeführten IOS-XR-Versionen hatten zum 3. September 14 Versionen direkt verfügbare SMUs. Für vier weitere Versionen waren SMUs angekündigt. Bei den verbleibenden 93 Releases muss der Betreiber zunächst auf eine andere IOS-XR-Version aktualisieren, bevor sich die eigentlichen Korrekturen einspielen lassen.

Damit entsteht ein mehrstufiger Patchprozess: Zunächst muss geprüft werden, welche Zielversion auf der jeweiligen Hardware unterstützt wird. Anschließend erfolgt gegebenenfalls ein Versionsupgrade. Erst danach können die passenden SMUs installiert werden. Für produktive Router in Carrier-, Rechenzentrums- oder kritischen Infrastrukturen ist das erheblich aufwendiger als ein einzelner Hotfix.

Weitere Cisco-Lücken am selben Patchtag

Cisco veröffentlichte am selben Tag zusätzliche Sicherheitskorrekturen. Zwei öffentlich bekannte Schwachstellen in Secure/Multipurpose Internet Mail Extensions (S/MIME), CVE-2026-20354 und CVE-2026-20355, erreichen jeweils 5,9 Punkte. Ein Machine-in-the-Middle-Angreifer kann unter bestimmten Voraussetzungen Klartext aus E-Mails wiederherstellen, die zwischen Secure-Email-Gateways mit AsyncOS 16.5.0 oder älter übertragen werden, sofern S/MIME konfiguriert ist.

Zusätzlich schloss Cisco mit CVE-2026-20281 eine Denial-of-Service-Schwachstelle mit CVSS 7,5 in mehreren Telefonserien. Betroffen sind Desk Phone 9800, IP Phone 7800 und 8800 sowie Video Phone 8875, sofern die Geräte an Unified Communications Manager angebunden sind und Web Access aktiviert ist. Diese Funktion ist standardmäßig deaktiviert.

Angriffe auf Router zeigen das Schadenspotenzial

Die Updates erscheinen nur wenige Tage nach neuen Erkenntnissen über Angriffe auf Cisco-Router. Der China zugerechnete Akteur Fire Ant soll speziell entwickelte Implantate auf IOS-XR-Systemen eingesetzt haben. Diese Implantate konnten Syslog-Meldungen unterdrücken, Ausgaben von show-Befehlen filtern und einen versteckten Generic Routing Encapsulation (GRE)-Tunnel bereitstellen. Darüber hinaus wurden Pakete von Routern aufgezeichnet und auf externe FTP-Server übertragen. Von den Geräten aus erfolgten außerdem Verbindungsversuche und Portscans gegen angeschlossene Systeme aus kritischen Infrastrukturen.

Besonders bemerkenswert war ein Router mit einem aktiven Tunnel-Interface, für das weder in der laufenden Konfiguration noch in der Commit-Historie eine Erklärung existierte. Sygnia kam deshalb zu der Einschätzung, der operative Zustand des Geräts könne „nicht länger als mit Konfiguration und Audit-Protokollen übereinstimmend betrachtet werden“. Dieser Fall zeigt ein grundsätzliches Problem kompromittierter Netzwerkgeräte: Wird der Router oder Switch selbst manipuliert, können auch dessen lokale Protokolle, Statusanzeigen und Managementbefehle unzuverlässig werden.

Netzwerkgeräte brauchen externe Kontrolle

Für Betreiber ergibt sich daraus eine weitergehende Konsequenz. Ein Versionscheck allein genügt nicht. Zentraler Netzwerkkomponenten sollten zusätzlich über unabhängige Datenquellen überwacht werden. Dazu gehören beispielsweise externe Syslog-Systeme, Flow-Telemetrie, Konfigurations-Backups, automatisierte Soll-Ist-Vergleiche und die Überwachung ungewöhnlicher Tunnel, Managementverbindungen oder Routingänderungen.

Gerade CVE-2026-20212 macht deutlich, warum Schwachstellen in Switches und Routern besonders kritisch sind. Ein erfolgreicher Angriff betrifft nicht lediglich einen einzelnen Server oder Benutzerrechner. Ein kompromittiertes Netzwerkgerät kann Datenströme beobachten, Verbindungen umleiten, Sicherheitskontrollen umgehen oder als Ausgangspunkt für weitere Angriffe dienen.

Für Nexus-9000-Betreiber ist deshalb zunächst entscheidend, die konkrete Produktkennung und NX-OS-Version zu prüfen und die Ports 43210 und 43211 bis zur Installation eines Fixes abzuschirmen. IOS-XR-Betreiber müssen zusätzlich klären, ob für ihren Release bereits passende SMUs existieren oder zunächst ein Versionswechsel erforderlich ist. Bei zentraler Infrastruktur wird Patchmanagement damit unmittelbar zu einer Frage der Vertrauenswürdigkeit des gesamten Netzes.