Une faille critique frappe les commutateurs Cisco Nexus 9000 : la CVE-2026-20212 permet à un attaquant non authentifié d’exécuter du code en tant que root sur l’équipement, via deux ports TCP ouverts par défaut. Pour une PME-ETI, un commutateur de cœur de réseau compromis, c’est l’ensemble du trafic interne qui bascule sous contrôle adverse. Voici comment identifier vos équipements exposés et bloquer la RCE non authentifiée en quelques heures.
Cisco Nexus 9000 : ce que fait réellement la CVE-2026-20212
La vulnérabilité vise dix modèles de commutateurs de la gamme Cisco Nexus 9000. Deux services d’administration interne écoutent sur les ports TCP 43210 et 43211, et ces ports sont accessibles depuis le VRF de gestion Layer 3 configuré par défaut. Aucun identifiant n’est requis : un paquet correctement formé suffit à obtenir une exécution de code avec les privilèges root.
Concrètement, l’attaquant qui atteint ce port depuis votre réseau interne obtient :
- le contrôle total de la configuration du commutateur (VLAN, ACL, routage) ;
- la capacité de rediriger ou dupliquer le trafic vers une machine qu’il contrôle ;
- une persistance très difficile à détecter, car l’équipement réseau sort du périmètre EDR classique ;
- un point de pivot idéal vers la segmentation industrielle ou les VLAN serveurs.
Le point aggravant est la configuration par défaut. Beaucoup d’équipes réseau supposent que ces ports internes sont filtrés d’usine. Ils ne le sont pas.
Pourquoi les PME-ETI sont particulièrement exposées
Dans les organisations de taille intermédiaire, le commutateur de cœur est souvent installé une fois puis oublié pendant des années. L’inventaire des versions NX-OS est rarement à jour, et le VRF de gestion est fréquemment fusionné avec le VLAN administratif utilisé par le support informatique. Résultat : la surface d’attaque de la CVE-2026-20212 n’est pas réduite à quelques administrateurs, mais ouverte à tout poste compromis par un phishing.
Étape 1 : inventorier vos commutateurs Cisco Nexus 9000
Commencez par établir la liste exhaustive des équipements concernés et de leur version NX-OS. Sur chaque commutateur :
show version— relevez la version NX-OS et le modèle exact ;show module— identifiez les cartes et superviseurs installés ;show vrf— listez les VRF actifs, en particulier le VRF de gestion ;show sockets connection tcp— vérifiez si les ports 43210 et 43211 sont en écoute.
Confrontez ensuite cette liste à l’avis officiel Cisco pour savoir si votre modèle et votre version figurent parmi les combinaisons vulnérables. Si vous n’avez pas d’inventaire réseau centralisé, c’est le moment de le créer : sans lui, chaque avis de sécurité vous coûtera une journée de recherche.
Étape 2 : bloquer l’accès aux ports 43210 et 43211
Le correctif éditeur reste la seule remédiation complète, mais l’atténuation réseau se déploie en quelques minutes et réduit immédiatement le risque de RCE non authentifiée. Appliquez une ACL de contrôle de plan de gestion qui n’autorise que vos postes d’administration :
- créez une ACL nommée qui refuse explicitement TCP 43210 et 43211 depuis toute source hors bastion ;
- appliquez-la en entrée sur les interfaces du VRF de gestion, pas seulement sur les interfaces utilisateur ;
- vérifiez qu’aucune interface de données ne partage le VRF par défaut avec la gestion ;
- doublez le filtrage au niveau du pare-feu de segmentation, pour survivre à une erreur de configuration locale.
Testez ensuite depuis un poste utilisateur standard : une tentative de connexion sur ces deux ports doit échouer. C’est votre preuve de remédiation, à conserver pour l’audit.
Isoler le plan de gestion, une fois pour toutes
Cette faille est un rappel : le plan de gestion des équipements réseau doit vivre dans un VLAN dédié, joignable uniquement depuis un bastion, avec authentification forte et journalisation. Cette architecture neutralise non seulement la CVE-2026-20212, mais aussi la prochaine vulnérabilité du même type. Le même raisonnement s’applique à vos autres équipements Cisco, comme l’a montré la faille du mot de passe codé en dur sur Cisco FMC.
Étape 3 : appliquer le correctif NX-OS et vérifier
Planifiez la mise à jour NX-OS dans une fenêtre de maintenance courte, en commençant par les commutateurs les moins critiques pour valider la procédure. Points de contrôle :
- sauvegardez la configuration courante et le fichier de démarrage avant toute opération ;
- validez la compatibilité de la version cible avec vos cartes et vos fonctionnalités actives ;
- sur une paire vPC, mettez à jour un membre à la fois pour préserver la disponibilité ;
- après redémarrage, revérifiez
show versionet l’état d’écoute des ports 43210 et 43211.
Si le correctif ne peut pas être appliqué avant plusieurs semaines, documentez formellement l’atténuation par ACL comme mesure compensatoire, avec une date de revue. Une exception non tracée devient une dette invisible.
Étape 4 : chasser les traces d’exploitation
Une RCE non authentifiée sur un commutateur laisse peu de traces locales, mais votre supervision réseau en garde. Recherchez :
- toute connexion réussie vers les ports 43210 ou 43211 depuis une source non administrative dans vos journaux de flux (NetFlow, pare-feu) ;
- des modifications de configuration hors fenêtre de changement, via l’historique
show accounting log; - l’apparition de sessions SPAN ou de redirections de trafic que personne n’a demandées ;
- des comptes locaux ou des clés SSH ajoutés récemment sur l’équipement.
Centralisez ces journaux dans votre SIEM. Un commutateur qui n’envoie rien à la supervision est un angle mort permanent, quelle que soit la CVE du jour.
Réduire la fenêtre d’exposition, pas seulement corriger
La CVE-2026-20212 sur Cisco Nexus 9000 se corrige en trois gestes : inventorier, filtrer, patcher. Mais le vrai gain se situe en amont, dans la capacité à passer d’un avis éditeur à une remédiation vérifiée en moins de 48 heures. C’est exactement l’enjeu que nous détaillons dans notre article sur la réduction de la fenêtre de patch. Un équipement réseau non corrigé n’est pas un risque théorique : c’est un accès root offert à quiconque atteint votre VLAN de gestion.