CVE-2026-20212 : Cisco Nexus 9000 RCE root sans auth CVSS 9.8

Les faits

Le 2 septembre 2026, Cisco a publié un avis de sécurité critique révélant la vulnérabilité CVE-2026-20212, une faille d'exécution de code à distance de niveau CVSS 9.8 affectant les commutateurs Cisco Nexus 9000 Series intégrant un ASIC Silicon One. Cette vulnérabilité permet à un attaquant distant non authentifié d'exécuter du code arbitraire avec les privilèges root sur les équipements concernés, exposant potentiellement l'ensemble du tissu réseau des data centers modernes — en particulier ceux hébergeant des charges de travail d'intelligence artificielle à grande échelle.

La découverte de cette faille est issue d'un cas de support ouvert auprès du Technical Assistance Center (TAC) de Cisco. Un ingénieur traitant un ticket client a mis en évidence que deux ports TCP — le 43210 et le 43211 — étaient accessibles de manière non intentionnelle via la configuration Layer 3 VRF (Virtual Routing and Forwarding) par défaut des appareils concernés. Cette exposition résulte d'une liaison à une adresse IP non restreinte, classifiée sous la Common Weakness Enumeration CWE-1327 (Binding to an Unrestricted IP Address). En d'autres termes, ces ports de service interne, normalement destinés aux seuls processus locaux du système d'exploitation NX-OS, se retrouvent joignables depuis des segments réseau distants sans qu'aucun filtrage ne soit appliqué par défaut.

Sur le plan technique, la vulnérabilité réside dans le traitement des entrées reçues sur les ports TCP 43210 et 43211. Lorsqu'un attaquant envoie des données spécialement forgées à l'un de ces ports, le code de traitement côté système exécute ces données avec les privilèges root, soit les droits les plus élevés du système d'exploitation Linux sous-jacent à NX-OS. Aucune authentification préalable n'est requise, aucune interaction utilisateur n'est nécessaire, et aucune condition particulière d'état du système n'est requise au-delà de la joignabilité réseau des ports concernés. Le vecteur d'attaque CVSS complet est : AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, ce qui représente la configuration la plus dangereuse possible pour un équipement réseau central.

Les modèles affectés sont les commutateurs Cisco Nexus 9000 Series intégrant un ASIC Silicon One, une architecture matérielle introduite par Cisco pour ses déploiements data center nouvelle génération, notamment dans les environnements GPU-to-GPU pour l'entraînement de modèles d'IA à grande échelle. Parmi les références concernées figurent les Nexus C9332D-H2R, C9364D-GX, ainsi que d'autres modèles de la gamme 9000 dotés de cet ASIC. Les versions NX-OS antérieures au correctif de septembre 2026 sont toutes vulnérables dès lors que l'appareil opère en mode NX-OS standard. Les déploiements en mode ACI (Application Centric Infrastructure) ne sont pas affectés par cette vulnérabilité selon Cisco PSIRT.

Cisco PSIRT a confirmé au moment de la publication qu'aucune exploitation active ni activité malveillante ciblant cette vulnérabilité n'avait été observée, et qu'aucun code d'exploitation public (Proof-of-Concept) n'était disponible à la date de divulgation. Cependant, la nature de la faille — accès root sans authentification via un port réseau joignable depuis un segment adjacent — en fait une cible de choix pour des acteurs menaçants cherchant à compromettre des infrastructures réseau critiques. L'historique des vulnérabilités Cisco en 2025-2026 montre que les délais entre divulgation publique et exploitation active peuvent être inférieurs à 72 heures pour des failles de cette criticité dans les équipements réseau.

Pour les organisations opérant des data centers IA ou des infrastructures cloud de grande envergure, la compromission d'un commutateur Nexus 9000 permettrait à un attaquant de positionner des implants persistants au niveau du tissu réseau, d'intercepter le trafic est-ouest entre les serveurs GPU, de pivoter latéralement vers d'autres segments de réseau, et potentiellement d'atteindre des systèmes de gestion ou des hyperviseurs. La criticité de ce vecteur d'attaque est amplifiée par la position centrale que ces commutateurs occupent dans les architectures spine-leaf modernes où ils agrègent l'ensemble du trafic entre des milliers de serveurs.

Du côté des correctifs, Cisco a mis à disposition des versions mises à jour de NX-OS résolvant définitivement la vulnérabilité. En parallèle, l'éditeur a publié une mitigation temporaire via sa solution Live Protect Shield, applicable sans redémarrage complet de l'équipement et activable via Cisco Security Manager. La mitigation manuelle recommandée consiste à déployer des Infrastructure Access Control Lists (iACLs) interdisant tout trafic TCP externe vers les ports 43210 et 43211 sur les interfaces de management et de données des appareils concernés. Ces iACLs doivent être appliquées sur les interfaces d'entrée de chaque équipement vulnérable.

Sur le plan de la visibilité, les ports TCP 43210 et 43211 n'étant pas des ports standards répertoriés dans les bases de données de services réseau classiques (IANA), leur exposition peut facilement passer inaperçue lors des audits de configuration réseau habituels. Il est crucial que les équipes de sécurité procèdent à un inventaire exhaustif de leurs équipements Nexus 9000 et effectuent un scan ciblé de ces ports avant et après application du correctif, afin de confirmer d'une part leur exposition effective et d'autre part le succès de la mitigation. La commande NX-OS show socket connection ou un scan externe ciblant spécifiquement ces ports permettront de confirmer ou d'infirmer l'exposition.

Impact et exposition

Sont exposés tous les opérateurs de commutateurs Cisco Nexus 9000 Series avec Silicon One ASIC fonctionnant sous NX-OS, dont les ports TCP 43210 et 43211 sont accessibles depuis un segment réseau non contrôlé. Cette surface d'attaque concerne particulièrement les équipes réseau n'ayant pas strictement segmenté le plan de gestion de leurs équipements, une lacune fréquente dans les déploiements data center à grande échelle. Les environnements cloud privés, les hébergeurs, les grandes entreprises utilisant une architecture spine-leaf Cisco, et les opérateurs d'infrastructure IA sont les cibles les plus probables et les plus exposées.

La condition d'exploitation est simple : joignabilité réseau des ports TCP 43210 et 43211. En l'absence d'iACL ou de segmentation stricte du plan de gestion, tout attaquant positionné sur un segment réseau ayant accès à ces ports — y compris via une machine compromise au sein du réseau interne — peut exécuter du code arbitraire en root sur le commutateur. L'absence d'exploitation active confirmée à ce jour ne doit pas être interprétée comme un délai de grâce supplémentaire : la fenêtre d'action préventive est courte et se réduit à chaque heure sans correctif.

L'impact potentiel d'une exploitation réussie est maximal : contrôle total de l'équipement réseau, possibilité de modification des tables de routage et des politiques BGP, interception du trafic en transit, installation de backdoors persistantes dans la configuration ou le firmware, et latéralisation vers l'ensemble du tissu réseau. Dans un contexte de data center IA, la compromission d'un équipement central peut permettre l'extraction de données d'entraînement sensibles, la corruption de flux de communication GPU-to-GPU, et l'établissement d'un point de présence permanent et difficile à détecter dans l'infrastructure.

Selon le bulletin Cisco Security Advisory de septembre 2026, l'exploitation ne requiert aucun privilège préalable, aucune interaction utilisateur et aucune condition particulière, ce qui en fait l'une des vulnérabilités les plus accessibles de l'année 2026 sur des équipements réseau critiques.

Recommandations immédiates

• Appliquer immédiatement le correctif NX-OS fourni par Cisco — Cisco Security Advisory septembre 2026 (cisco-sa-nexus9k-silicon-one-rce)
• Si le patch ne peut être appliqué immédiatement : déployer des iACLs interdisant l'accès aux ports TCP 43210 et 43211 depuis tout segment non autorisé
• Activer le Cisco Live Protect Shield comme protection temporaire en attendant la mise à jour NX-OS complète
• Vérifier l'exposition des ports via show socket connection | include 4321 en CLI NX-OS
• Auditer les journaux de connexions réseau sur les ports 43210/43211 à la recherche d'accès inattendus antérieurs à la divulgation
• Identifier et prioriser tous les équipements Nexus 9000 Silicon One en production selon leur niveau d'exposition réseau
• Les déploiements en mode ACI sont exemptés — vérifier le mode d'exploitation de chaque appareil