Il bug CVE-2026-20212 colpisce dieci modelli di switch Nexus 9000 con Silicon One: due porte TCP raggiungibili in rete bastano per eseguire codice come root. Cisco ha pubblicato le patch.
Un 9,8 su 10 sugli switch dei data center
Quanto vi fidate dello switch che sta in fondo al rack? La domanda e meno retorica di quanto sembri. Il 2 settembre Cisco ha pubblicato un avviso per CVE-2026-20212, una vulnerabilita con punteggio 9,8 su 10 che riguarda gli switch Nexus 9000 basati sui chip Silicon One: gli apparati che smistano il traffico dentro i data center e, sempre piu spesso, le reti dedicate all'intelligenza artificiale.
All'origine ci sono due porte TCP, la 43210 e la 43211, che restano in ascolto e risultano raggiungibili gia con la configurazione di rete predefinita dell'apparato. In pratica il servizio si lega a qualunque indirizzo IP invece di limitarsi a quelli strettamente necessari. Chi riesce a contattare quelle porte puo inviare dati costruiti ad arte e farli eseguire come codice con privilegi di root, cioe con il controllo completo dello switch. Non servono credenziali e non serve alcuna azione da parte di un operatore. Nel caso meno grave lo stesso input manda in crash il processo S1HAL e provoca il riavvio dell'apparato: un disservizio secco.
Chi e colpito e cosa fare
La lista comprende circa dieci modelli Nexus 9000 con ASIC Silicon One e 45 release del sistema operativo NX-OS, dalla 10.3(1) fino alla 10.6(3s). Restano fuori gli Nexus 9000 configurati in modalita ACI e le famiglie Nexus 3000 e 7000. La falla e stata trovata da Cisco mentre lavorava a un caso di assistenza tecnica, e alla data dell'avviso non risultano sfruttamenti in corso. E una buona notizia, ma vale finche dura: quando il bollettino diventa pubblico, il tempo per muoversi si accorcia.
La soluzione definitiva e aggiornare a NX-OS 10.6(4) o versioni successive, verificando il proprio caso con il Software Checker di Cisco. Chi non puo farlo subito ha due ripieghi: configurare sull'infrastruttura una ACL (una iACL) che blocchi il traffico TCP verso le porte 43210 e 43211 sugli indirizzi dello switch, oppure applicare lo scudo temporaneo Live Protect lp00031, disponibile pero solo per le release 10.6(3) e 10.6(3s). Sono misure per comprare tempo, non per chiudere la partita.
Fonte: The Hacker News
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
C'e una frase, in questi avvisi, che di solito scorre via senza far rumore: "raggiungibile tramite la configurazione di rete predefinita". Tradotto: la porta di gestione dell'apparato e esposta piu di quanto chi lo ha installato immagini. Secondo me il punto dolente e li, piu che nel singolo bug. Negli assessment mi capita spesso di trovare switch e router di dorsale con il piano di gestione appiattito sulla rete di produzione, senza una ACL che filtri chi puo parlarci. E quando chiedo a che release di firmware sono, la risposta a volte e un silenzio imbarazzato: quegli apparati non si toccano da anni, nessuno vuole rischiare un fermo.
Il timore e legittimo, va detto. Aggiornare uno switch di core non e come aggiornare un portatile: serve una finestra di manutenzione, serve la ridondanza che regge il traffico mentre riavvii, serve provare la procedura prima. Capisco perche si rimandi. Ma e proprio per questo che gli avvisi fatti bene, come questo, arrivano con un ripiego pronto: la iACL che chiude quelle due porte si applica in pochi minuti e non richiede riavvio. Il dubbio che mi resta e sempre lo stesso, e non e tecnico: quante aziende hanno un inventario aggiornato del firmware dei propri apparati di rete e sanno dire, oggi, quali sono vulnerabili? Se hai dei Nexus 9000 in sala macchine e non hai una risposta certa sulla release NX-OS e su chi puo raggiungere le loro porte di gestione, posso aiutarti a fare il punto e a pianificare l'aggiornamento senza fermare la produzione.