CVE-2026-20212 ב-Cisco Nexus 9000: סיכון RCE קריטי למארגי AI

פגיעות קריטית במתגי Cisco Nexus 9000 מחייבת טיפול מיידי במרכזי נתונים של בינה מלאכותית (AI) ובסביבות מחשוב עתיר-ביצועים. לא פורסמה הוכחה לניצול נגד אשכולות AI, אך מתגים מושפעים עשויים לשבת בלב נתיבי תעבורה בעלי ערך גבוה. CVE-2026-20212 עלולה לאפשר לתוקף רשת לא מאומת להריץ קוד בהרשאות root — או לגרום לאתחול המתג — אם יש לו אפשרות להגיע לשני שירותים ב-VRF שכבה 3 (L3) המוגדר כברירת מחדל. 1720

מה מאפשרת CVE-2026-20212?

סיסקו חשפה את CVE-2026-20212 ב-2 בספטמבר 2026. הפגיעות מדורגת 9.8 לפי CVSS ונמצאת באינטגרציית Silicon One עבור מתגי Cisco Nexus 9000 נבחרים. הפורטים TCP/43210 ו-TCP/43211 זמינים בברירת המחדל של מופע ה-VRF בשכבה 3; קלט מעוצב במיוחד שנשלח למתג מושפע עשוי להתבצע כקוד בהרשאות root. ניצול הפגיעות יכול גם להפיל את תהליך S1HAL ולגרום לטעינה מחדש של המתג. 1720

המונח "נגיש ברשת" אינו אומר שהמתג חייב להיות חשוף לאינטרנט. גם תחנת קצה שנפרצה, רשת ניהול, שרת קפיצה או מקטע מנותב סמוך שיכולים להגיע ל-VRF ברירת המחדל עשויים להוות נתיב תקיפה. לכן, במרכז נתונים חשוב לבדוק קודם כול את מסלולי הגישה למתגים ממערכות ניהול, אוטומציה, ניטור ושירותים משותפים.

מדוע מפעילי מארגי AI צריכים לתעדף את הטיפול

השתלטות root על מתג במארג רשת חמורה יותר מבאג טיפוסי בשרת. לכל הפחות, תוקף יכול לשבש נתיב תעבורה קריטי באמצעות גרימת אתחול. שליטה מלאה בהתקן רשת עלולה לאפשר גם שינויי תצורה, פגיעה בטלמטריה, התמדה וגישה למערכות ניהול מחוברות. אלה השלכות סיכון אפשריות — לא ראיה לכך שהפגיעות כבר נוצלה נגד סביבת AI.

באשכולות GPU ובסביבות עתירות תעבורה, הפרעה במיתוג עלולה לפגוע בתעבורה פנימית בין עומסים, בזרימות אחסון או בקישוריות של מישור הבקרה. לכן יש לסווג מתגים מושפעים כתשתית בעדיפות גבוהה בתהליך תיעדוף הפגיעויות.

אילו מערכות Nexus 9000 מושפעות?

לא מדובר בפגיעות גורפת בכל מוצר שנושא את השם Nexus 9000. הדיווחים מתארים אוכלוסייה של 10 פלטפורמות Nexus 9000 המבוססות על Silicon One שמריצות תוכנה פגיעה. 231

לפי הדיווחים על ייעוץ האבטחה של סיסקו, מתגי Nexus 9000 Fabric הפועלים במצב ACI אינם מושפעים מהבעיה הספציפית הזו. 48 תיעוד ACI של סיסקו מאשר שמתגים במצב ACI משתמשים בסביבת הפעלה ובמסלול גרסאות נפרדים. 46

עם זאת, אין להפוך את ההבחנה הזו לקיצור דרך בניהול המלאי. תהליך ההחלטה הנכון הוא:

1. לזהות את דגם המתג המדויק ואת הפלטפורמה או ה-ASIC.
2. לוודא אם המתג משתמש באינטגרציית Silicon One הרלוונטית.
3. לאשר את מצב ההפעלה ואת גרסת התוכנה המותקנת.
4. להשוות את השילוב הזה לייעוץ של סיסקו עבור CVE-2026-20212 ולהנחיות הגרסאות המתוקנות.

אין להסיק חשיפה רק משם משפחת Nexus, ואין להניח שרשת בטוחה רק משום שמארג המיתוג אינו חשוף לאינטרנט.

קודם מתקנים; במקביל חוסמים את שתי הפורטות

סיסקו פרסמה עדכוני תוכנה עבור הפגיעות במערכות המושפעות. 228 התיקון המהותי הוא שדרוג כל התקן מושפע לגרסת התוכנה המתוקנת המתאימה, לפי המידע של סיסקו לכל פלטפורמה — ולא לפי מספר גרסה שמופיע בסיכום של צד שלישי.

עד שכל המתגים המושפעים יתוקנו, יש לצמצם את משטח התקיפה הנגיש:

• להחיל ACLs לתשתית או חוקי חומת אש שימנעו ממקורות בלתי מהימנים להגיע אל TCP/43210 ו-TCP/43211 ב-VRF ברירת המחדל של L3. 1821
• להגביל קישוריות למישור הניהול וקישוריות בין VRF-ים רק למערכות ניהול מורשות במפורש.
• לוודא שלשרתי קפיצה, למערכות אוטומציה ולרשתות ניטור ניתנת רק ההרשאה המינימלית הנדרשת.
• לתכנן את השדרוג כפעילות תחזוקה דחופה אך מבוקרת, עם יתירות ותוכנית חזרה לאחור המתאימות לתפקידו של המארג.

סינון תעבורה הוא אמצעי בלימה זמני, לא תחליף לתוכנה מתוקנת. הוא מפחית חשיפה כל עוד הפגם הבסיסי עדיין קיים.

סטטוס גילוי וניצול

לפי הדיווחים, הפגיעות התגלתה פנימית בידי סיסקו. 2 בעת הפרסום סיסקו מסרה שאינה מודעת לניצול זדוני, ועוקבים ציבוריים לא דיווחו על הוכחת היתכנות (PoC) פומבית או על ראיה מאומתת לניצול. 221

זהו מצב ידוע בזמן מסוים, ולא ערובה לכך שלא היו ניסיונות תקיפה. כאשר מדובר בתנאי RCE קריטי, ללא אימות ובהרשאות root על ציוד תשתית, יש לקבוע את הדחיפות לפי ההשפעה והנגישות — לא להמתין להופעת קוד ניצול פומבי.

עדכון ההקשחה הנפרד ל-IOS XR

פעילות האבטחה של סיסקו בספטמבר כללה גם מהדורת הקשחת אבטחה ל-IOS XR. זהו נושא נפרד מ-CVE-2026-20212: הפגיעות ב-Nexus עוסקת באינטגרציית Silicon One במתגי Nexus 9000 נבחרים, ואילו IOS XR היא מערכת ההפעלה של סיסקו לנתבים.

מהדורת ההקשחה ל-IOS XR קיבצה בעיות שהתגלו פנימית תחת שבעה CVE-ים כלליים, ובהם שניים בדירוג CVSS 9.8. לפי הדיווחים, לא היו דרכי עקיפה לבעיות IOS XR, ולכן שדרוג הוא דרך הטיפול העיקרית. 235

צוותי רשת צריכים לנהל את הנושאים כשני מסלולי עבודה נפרדים אך מקבילים: לאמת ולתקן מערכות Nexus 9000 המושפעות מ-CVE-2026-20212, ובנפרד להעריך התקני IOS XR מול מהדורת ההקשחה של ספטמבר.

מה Fire Ant משנה — ומה לא

אין ראיה פומבית לכך שהגורם המקושר לסין, שאחריו עוקבת Sygnia בשם Fire Ant, ניצל את CVE-2026-20212 או השתמש בה כנקודת כניסה בחקירת IOS XR של Sygnia. הקשר הוא אסטרטגי, לא שרשרת ניצול שהוכחה.

Sygnia דיווחה כי Fire Ant כיוונה לנתבי Cisco IOS XR, לתשתית אימות TACACS ולמארחי ניהול מבוססי Linux. לפי Sygnia, הקבוצה ניצלה תשתית מהימנה שנפרצה כדי לאסוף תעבורת רשת ואישורים, להסתיר ראיות לפעילות ולחקור סביבות מחוברות. 1036

בין הכלים והסימנים שדווחו:

• מנהרת GRE פעילה בנתב IOS XR, ללא רשומת תצורה צפויה או תיעוד בהיסטוריית ה-commit. 910
• איסוף תעבורה והשתקת לוגים או ראיות אחרות על נתבים שנפרצו. 10
• TacTap, מערך כלים לאיסוף אישורים המתמקד בזרימות אימות של TACACS. 1036
• BridgeAgent, שתל Linux שהתחזה לתהליך הקשור ל-Zabbix על מארח המחובר באמצעות GRE. 36

המסר למגני מרכזי נתונים של AI ברור: מתגי רשת, נתבים, שירותי AAA ומארחי ניהול הם גבולות אבטחה. פריצה אליהם עשויה לספק לתוקף נראות, אישורים מורשים, יכולת הסתרה ונתיב לסביבות בעלות ערך גבוה.

רשימת פעולות מעשית

1. מלאי ואימות: אתרו את כל התקני Nexus 9000 עם אינטגרציית Silicon One ואמתו את מצב ההפעלה והגרסה מול ייעוץ סיסקו.
2. ביטול חשיפה: זהו כל נתיב אל VRF ברירת המחדל של L3 וחסמו גישה לא מהימנה אל TCP/43210 ו-TCP/43211. 1821
3. תיקון המתגים המושפעים: תעדפו תוכנה מתוקנת במתגים הנושאים תעבורת ייצור קריטית או תעבורת מארג AI. 2
4. הפרדת תשתיות מורשות: בידלו רשתות ניהול ושירותי TACACS/AAA מעומסים ומרשתות כלליות.
5. טלמטריה בלתי תלויה: שלחו לוגים למערכות שהתקן הרשת אינו יכול לשנות בקלות, ובדקו פערים בלתי מוסברים בלוגים או בפלט פקודות.
6. קווי בסיס למנהרות ולשינויי מישור בקרה: בדקו מנהרות GRE, ממשקים בלתי צפויים, שינויי ניתוב ופעילות חריגה של לכידת תעבורה — במיוחד במערכות IOS XR. 910
7. הגנת אישורי ניהול: בדקו גישת TACACS, החליפו אישורים כאשר עולה חשד לפשרה, ותחקרו התנהגות אימות חריגה.

CVE-2026-20212 היא בעיית תיקון ובלימה דחופה. Fire Ant מזכירה את הסיכון הארכיטקטוני הרחב יותר: תשתית רשת מהימנה חייבת להיות מנוטרת ומופרדת בקפדנות דומה לזו שמוחלת על מערכות המחשוב שהיא מחברת.