Cisco-Updates: Kritische CVE-2026-20212 in Nexus 9000 und sieben IOS XR-CVEs

Am 2. September 2026 hat Cisco Patches für die kritische Schwachstelle CVE-2026-20212 (CVSS 9.8) in zehn Modellen der Nexus-9000-Switches auf Basis von Silicon One veröffentlicht, die es einem nicht authentifizierten entfernten Angreifer erlaubt, beliebigen Code mit Root-Rechten auszuführen. Parallel dazu erschien ein Security-Hardening-Release für IOS XR, das sieben übergeordnete CVE bündelt – zwei davon ebenfalls mit einem Score von 9.8 – und alle Versionen von IOS XR ohne Ausnahme und ohne Workarounds betrifft. Organisationen, die die betroffene Hardware betreiben, sollten umgehend prüfen, welche Patches und temporären Schutzmaßnahmen für sie relevant sind.

CVE-2026-20212: Remote Code Execution in Nexus 9000

Die Schwachstelle steht im Zusammenhang mit der Bindung des Dienstes an eine unbeschränkte IP-Adresse, wodurch die TCP-Ports 43210 und 43211 standardmäßig in der L3-VRF-Instanz der Standard-Routing-Tabelle erreichbar sind. Ein Angreifer, der die Adresse des Switches auf einem dieser Ports erreichen kann, kann sich direkt mit dem Dienst verbinden. Speziell präparierte Daten, die an diesen Dienst gesendet werden, werden als Code mit Root-Rechten ausgeführt. Darüber hinaus kann ein Exploit-Versuch laut offiziellem Cisco Security Advisory zu einem Absturz des S1HAL-Prozesses und einem Neustart des Geräts führen.

Betroffen sind die folgenden Produktkennungen (prüfbar mit dem Befehl show module):

• N9324C-SE1U und N9348Y2C6D-SE1U (Nexus Smart Switch)
• N9364E-SG2-O und N9364E-SG2-Q
• N9396T12C-SE1, N9348Y12C-SE1, N9396Y12C-SE1
• N9336C-SE1
• N9K-C9804 und N9K-C9808

Andere Modelle der Nexus 9000, Nexus-9000-Switches im ACI-Modus sowie die Baureihen Nexus 3000 und Nexus 7000 sind nicht betroffen. Cisco gibt an, dass dem Unternehmen zum Zeitpunkt der Veröffentlichung keine Fälle böswilliger Ausnutzung der Schwachstelle bekannt sind – dies ist jedoch lediglich die Aussage des Herstellers und schließt nicht aus, dass Angriffe unerkannt geblieben sind.

Temporäre Schutzmaßnahmen für Nexus

Cisco hat keine feste Release-Tabelle veröffentlicht und verweist Kunden auf den interaktiven Software Checker, um die Zielversion von NX-OS zu bestimmen. Bis zum Upgrade werden zwei temporäre Mechanismen empfohlen:

• iACL – eine Infrastructure Access Control List, die nur den erforderlichen Management-Traffic zulässt oder TCP-Pakete zu den Ports 43210 und 43211 für lokal konfigurierte IP-Adressen explizit blockiert. Cisco betont, dass die Regeln vor dem Roll-out in einer Laborumgebung getestet werden sollten.
• Live Protect shield lp00031 – ein temporärer Schutzmechanismus, der auf NX-OS 10.6(3) und, über ein separates Paket, auf NX-OS 10.6(3s) für zwei Smart-Switch-Modelle unterstützt wird. Der Mechanismus wird auf N9K-C9804 und N9K-C9808 nicht unterstützt und erfordert Zugriff per SSH, Telnet oder NX-API. Laut den Release Notes wechselt der Betriebszustand des Shields nach einem Upgrade auf NX-OS 10.6(4) oder höher in den Status N/A.

IOS XR-Hardening: sieben übergreifende CVE

Parallel dazu hat Cisco ein Advisory zum Hardening von IOS XR veröffentlicht, das sieben CVE abdeckt, die im Rahmen des risikobasierten Offenlegungsmodells nach CWE-Kategorien gruppiert sind. Jedem übergreifenden CVE wird der CVSS-Score des jeweils schwerwiegendsten Fehlers in der Gruppe zugewiesen:

• CVE-2026-20274 (CVSS 9.8) – Fehler in der Speichersicherheit und im Management der Lebensdauer von Ressourcen
• CVE-2026-20279 (CVSS 9.8) – Fehler in der Zugriffskontrolle, einschließlich fehlender Authentifizierung für kritische Funktionen und fehlerhafter Zertifikatsvalidierung
• CVE-2026-20275 (CVSS 8.8), CVE-2026-20278 (CVSS 8.8), CVE-2026-20280 (CVSS 8.8)
• CVE-2026-20276 (CVSS 8.6)
• CVE-2026-20277 (CVSS 8.2)

Wesentlich ist: Die Schwachstellen betreffen alle Versionen von IOS XR unabhängig von der Gerätekonfiguration, einschließlich der XR7-(LNT-)Plattformen – Cisco 8000 Series, NCS 1010, NCS 540L und NCS 5700 Series. Es existieren keine Workarounds.

Patch-Prozess für IOS XR

Cisco verlangt von Kunden, zunächst auf eine Version mit verfügbaren SMU (Software Maintenance Updates) zu aktualisieren und anschließend die entsprechenden Updates einzuspielen. SMU stehen für 15 Versionen zur Verfügung – von 6.9.2 bis 26.2.1. Für vier Versionen (24.1.2, 24.3.2, 25.1.2, 25.2.2) sind SMU für die Zukunft geplant. Die ersten vollständig bereinigten Releases, die keine SMU erfordern, werden die Versionen 26.2.2 und 26.3.1 sein.

Für XR7-(LNT-)Plattformen wird ein einheitlicher SMU CSCwv19790 für alle Versionen eingesetzt. Die übrigen SMU sind an funktionale Bereiche gebunden: BGP, crypto-ike, gRPC, IP-SLA, IS-IS, MPLS/MPLS-TE, Multicast, OSPF, Segment Routing, TCP Authentication Option und ZTP. Die Anwendbarkeit einzelner SMU variiert je nach Version, Plattform und Prozessorarchitektur. Kunden, die Versionen einsetzen, die in der Tabelle des Advisory nicht aufgeführt sind, wird empfohlen, ein Ticket beim TAC zu eröffnen.

Weitere Security Advisories vom 2. September

Am selben Tag veröffentlichte Cisco zwei weitere Advisories:

• CVE-2026-20354 und CVE-2026-20355 (CVSS 5.9) – Schwachstellen in der S/MIME-Entschlüsselung in Cisco Secure Email, die es einem Angreifer in Man-in-the-Middle-Position ermöglichen, den Klartext aus E-Mails zwischen Gateways auf AsyncOS 16.5.0 und früher mit konfiguriertem S/MIME wiederherzustellen.
• CVE-2026-20281 (CVSS 7.5) – Ausfall des Dienstes in Cisco-IP-Telefonen (Desk Phone 9800, IP Phone 7800/8800, Video Phone 8875) bei Registrierung an Unified CM mit aktiviertem Web Access (standardmäßig deaktiviert).

Auswirkungsbewertung

Der September-Release ist das dritte geplante Hardening-Paket innerhalb von 30 Tagen und spiegelt den Übergang von Cisco zu einem Offenlegungsmodell mit zwei Veröffentlichungen pro Monat wider. Der Umfang der betroffenen Produkte ist beträchtlich: CVE-2026-20212 betrifft Switches, die im Kern von Rechenzentrumsnetzwerken eingesetzt werden, und die IOS-XR-Schwachstellen betreffen Router, die das Rückgrat von Providernetzen und großen Unternehmensnetzen bilden.

Die CVSS-Bewertungen von 9.8 für die übergreifenden CVE in IOS XR sind mit einer Einschränkung zu interpretieren: Sie spiegeln jeweils den schwerwiegendsten Fehler innerhalb jeder CWE-Gruppe wider, nicht jedoch jeden einzelnen Bug. Dennoch machen das Fehlen von Workarounds und der Umstand, dass alle Versionen von IOS XR betroffen sind, ein Update alternativlos.

Empfehlungen

• Nexus 9000: Überprüfen Sie umgehend die Produktkennung mit dem Befehl show module. Bei Übereinstimmung mit den betroffenen PID – setzen Sie eine iACL ein, um die TCP-Ports 43210 und 43211 zu blockieren, bestimmen Sie die Zielversion von NX-OS über den Software Checker und planen Sie das Upgrade. Für NX-OS 10.6(3) sollte der Einsatz von Live Protect shield lp00031 in Betracht gezogen werden.
• IOS XR: Ermitteln Sie die aktuelle Version und Plattform, gleichen Sie diese mit der SMU-Tabelle im Advisory ab, aktualisieren Sie auf eine Version mit verfügbaren SMU und wenden Sie alle zutreffenden Updates an. Ist Ihre Version in der Tabelle nicht aufgeführt, eröffnen Sie ein TAC-Ticket.
• Secure Email: Prüfen Sie die AsyncOS-Version und die S/MIME-Konfiguration zwischen Gateways; liegt eine verwundbare Konfiguration vor, konsultieren Sie die Bug-Reports zu Informationen über gefixte Releases.
• IP-Telefone: Ist Web Access auf den betroffenen Modellen aktiviert, aktualisieren Sie die SIP-Software auf die im Advisory angegebene Version oder deaktivieren Sie Web Access bis zum Upgrade.

Angesichts der Kritikalität von CVE-2026-20212 und des Fehlens von Workarounds für IOS XR sollte die Patch-Priorität für beide Produktlinien maximal sein. Für die Switches Nexus 9804 und 9808, auf denen Live Protect shield nicht unterstützt wird, bleibt iACL bis zum Upgrade die einzige wirksame Maßnahme – deren Implementierung sollte als vorrangige Aufgabe in den ersten Stunden nach Veröffentlichung des Advisorys betrachtet werden.