Cisco ha revelado una vulnerabilidad crítica en los switches Cisco Nexus de la serie 9000 que podría permitir que un atacante remoto no autenticado ejecute código arbitrario con privilegios de root.

Identificada como CVE-2026-20212, el fallo ha recibido una puntuación CVSS de 9.8 sobre 10 y afecta a los modelos Nexus 9000 que utilizan un ASIC Silicon One. El problema de seguridad, identificado como CWE-1327, se detalla en el aviso de Cisco cisco-sa-n9k-s1-rce-EH8dEtr, publicado el 2 de septiembre de 2026.

Cisco señaló que la vulnerabilidad fue descubierta mientras resolvían un caso de soporte del Centro de Asistencia Técnica. En el momento de la publicación, el PSIRT de Cisco afirmó que no tenía conocimiento de ninguna explotación pública o actividad maliciosa relacionada con este fallo.

La vulnerabilidad existe porque los puertos TCP 43210 y 43211 son accesibles a través de la configuración predeterminada de enrutamiento y reenvío virtual de Capa 3 en los dispositivos afectados. Un atacante no necesita credenciales válidas para atacar el servicio vulnerable.

Al conectarse a un switch expuesto y enviar una entrada especialmente diseñada, un atacante podría hacer que dicha entrada se ejecute como código con privilegios de nivel de root.

Vulnerabilidad en switches Cisco Nexus de la serie 9000

El acceso de root daría a un atacante un control amplio sobre el switch objetivo. Esto podría permitir cambios en la configuración de la red, monitoreo de tráfico, interrupción del servicio, interceptación de datos o desplazamiento hacia otros sistemas conectados a la red.

Cisco advirtió que una explotación exitosa también puede provocar la caída del proceso S1HAL, obligando potencialmente al dispositivo afectado a reiniciarse y causando una interrupción de la red. El problema afecta a los switches Cisco Nexus de la serie 9000 que incluyen un ASIC Silicon One.

Cisco enumeró varios identificadores de productos afectados, incluyendo N9324C-SE1U, N9348Y2C6D-SE1U, N9364E-SG2-O, N9364E-SG2-Q, N9396T12C-SE1, N9348Y12C-SE1, N9396Y12C-SE1, N9336C-SE1, N9K-C9804 y N9K-C9808.

Puedes identificar el módulo instalado y el identificador del producto ejecutando el comando show module en el switch. Las organizaciones deben comparar el número de modelo obtenido con la lista de productos afectados de Cisco y luego verificar si su versión actual de NX-OS es vulnerable a través del Cisco Software Checker.

Cisco confirmó que otros modelos Nexus 9000 que no figuran en el aviso no están afectados. Los switches Nexus 9000 Fabric que operan en modo ACI tampoco son vulnerables.

Otros productos confirmados como no afectados incluyen los switches Nexus de las series 3000 y 7000, los switches multicapa MDS de la serie 9000, los dispositivos Cisco Firepower, los productos Secure Firewall y varias plataformas UCS Fabric Interconnect.

Cisco ha lanzado actualizaciones de software para solucionar la CVE-2026-20212 y recomienda encarecidamente actualizar a una versión corregida de NX-OS. Hasta que se complete el parcheo, las organizaciones pueden aplicar listas de control de acceso (ACL) de infraestructura para permitir únicamente el tráfico necesario de gestión y del plano de control hacia el dispositivo.

Como mitigación adicional, puedes configurar iACLs para denegar explícitamente el tráfico TCP enviado a las direcciones IP del switch configuradas localmente en los puertos de destino 43210 y 43211.

Cisco también lanzó un escudo Live Protect para protección temporal, pero subrayó que solo debe servir como un puente hasta que se implemente una actualización completa del software.