答案已发布24 来源
CVE-2026-20212：Nexus 9000 的根权限漏洞，AI 网络织构需优先处置
CVE 2026 20212 的 CVSS 评分为 9.8。可访问默认 L3 VRF 内 TCP/43210 或 TCP/43211 的未认证攻击者，可能获得 root 级代码执行能力，或使交换机重载。[17][20] 影响范围并非全部 Nexus 9000，而是部分基于 Silicon One 的平台；报道称 ACI 模式 Fabric 交换机不受此特定漏洞影响，但仍须按具体型号、模式和软件版本核验。[2][48] Fire Ant 尚未被公开证实利用该 CVE；但其针对 IOS XR 路由器、TACACS 与 Linux 管理主机的行动说明，受控网络设备可成为流量侦收、凭据窃取和横向渗透的高价值跳板。[10][36]
发布者使用 GPT-5.6 Terra 编辑图片由 GPT Image 2 生成
研究答案
要点
- CVE 2026 20212 的 CVSS 评分为 9.8。可访问默认 L3 VRF 内 TCP/43210 或 TCP/43211 的未认证攻击者，可能获得 root 级代码执行能力，或使交换机重载。[17][20]
- 影响范围并非全部 Nexus 9000，而是部分基于 Silicon One 的平台；报道称 ACI 模式 Fabric 交换机不受此特定漏洞影响，但仍须按具体型号、模式和软件版本核验。[2][48]
- Fire Ant 尚未被公开证实利用该 CVE；但其针对 IOS XR 路由器、TACACS 与 Linux 管理主机的行动说明，受控网络设备可成为流量侦收、凭据窃取和横向渗透的高价值跳板。[10][36]
AI 提示
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Cisco’s September 2, 2026 disclosure of CVE-2026-20212—a CVSS 9.8 vulnerability in Silicon One–based Nexus 9000 switches that expose. Article summary: CVE-2026-20212 makes a subset of Cisco Nexus 9000 switches a high-priority AI-fabric risk: an attacker who can reach TCP/43210 or TCP/43211 in the switch’s default L3 VRF can obtain root-level code execution or force a r. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, ch
对于承载 AI 训练、推理或高性能计算业务的数据中心而言，CVE-2026-20212 应被列为紧急处置事项。原因不在于已有公开证据表明它被用于入侵 AI 集群，而在于受影响的交换机往往处于高价值流量路径上。
漏洞影响：匿名攻击者可获得 root 权限，或令设备重载
思科于 2026 年 9 月 2 日披露 CVE-2026-20212，CVSS 评分为 9.8。漏洞存在于部分 Cisco Nexus 9000 系列交换机的 Silicon One 集成组件中：默认三层 VRF（虚拟路由与转发实例）内的 TCP/43210 和 TCP/43211 可被访问。能够到达这两个端口的未认证网络攻击者，可向设备发送构造输入并以 root 权限执行代码；利用也可能导致 S1HAL 进程崩溃，进而触发交换机重载。17
20
这里的“可通过网络访问”并不等于设备必须暴露在公网。只要被攻陷的主机、管理网跳板机、共享服务网段或相邻路由网段能够到达默认 L3 VRF，就可能构成攻击路径。
为什么 AI 网络织构要优先处理
对 GPU 集群等高吞吐环境来说，网络交换设备重载就可能中断东西向业务流量、存储流量或控制面连通性。更严重的是，设备 root 级控制权理论上可被用于篡改配置、干扰遥测、建立持久化访问，或向相连的管理系统横向移动。
这些是该漏洞的风险后果，并不是 CVE-2026-20212 已被用于攻击 AI 环境的证据。因此，关键不应是等待公开利用代码出现，而应立即依据“影响程度 + 可达性”开展处置。
哪些 Nexus 9000 设备受影响？
不能因为设备名中带有“Nexus 9000”就断定受影响。现有报道指出，受影响的是 10 款基于 Silicon One 的 Nexus 9000 平台，且需运行存在漏洞的软件版本。2
31
报道称，运行 ACI 模式的 Nexus 9000 Fabric 交换机不受此特定漏洞影响；ACI 模式使用独立的运行环境和发布分支。46
48
实际核查应按以下顺序进行：
- 确认精确的交换机型号、ASIC 与平台；
- 确认是否采用相关 Silicon One 集成；
- 确认运行模式及已安装的软件版本；
- 以思科针对 CVE-2026-20212 的公告和各平台修复版本说明为准。
不要仅凭产品家族名称判断风险，也不要因为交换网络未直接暴露公网就认为安全。
处置原则：先升级；升级前封控两个端口
思科已为受影响的 Nexus 漏洞发布软件更新。2
28 长期且完整的修复方式，是依据思科按平台提供的修复版本指引升级设备，而不是套用第三方文章中的单一版本号。
在完成升级前，应尽快降低可达攻击面：
- 用基础设施 ACL 或防火墙规则，阻止不受信任来源访问默认 L3 VRF 中的 TCP/43210 和 TCP/43211。
18
21
- 将管理平面和跨 VRF 访问限制为明确授权的管理系统。
- 审核跳板机、自动化系统与监控网络，确保仅拥有完成工作所需的最小权限。
- 将升级作为紧急但受控的维护活动实施，并按网络织构角色准备冗余和回退方案。
端口过滤是临时遏制措施，并不能消除缺陷本身；修复软件仍是必需项。
发现与利用现状
报道显示，该漏洞由思科内部发现。2 在披露时，思科表示未发现恶意利用；公开跟踪信息也未显示公开 PoC 或已确认的利用证据。
2
21
这只是特定时点的公开可见性结论，并不等于现实中不存在尝试。对于基础设施设备上的未认证 root 级远程代码执行风险，防御方不应以“尚无公开利用”为延后处置的理由。
不要与 IOS XR 加固发布混为一谈
思科同期还发布了 IOS XR 软件安全加固版本，但它与 CVE-2026-20212 是两条不同的处置线：前者面向思科路由器操作系统 IOS XR，后者涉及部分 Nexus 9000 交换机中的 Silicon One 集成。
该 IOS XR 加固发布将内部发现的问题归入 7 个总括性 CVE，其中 2 个 CVSS 评分为 9.8。报道称，这些 IOS XR 问题没有可用缓解方案，升级是主要补救方式。2
3
5
Fire Ant 带来的真正警示
目前没有公开证据表明 Sygnia 追踪的、与中国有关联的威胁行为者 Fire Ant 利用了 CVE-2026-20212，也没有证据证明该漏洞是其 IOS XR 调查中的入侵入口。两者的关联在于安全战略层面：可信网络基础设施本身就是高价值攻击目标。
Sygnia 报告称，Fire Ant 曾针对 Cisco IOS XR 路由器、TACACS 认证基础设施和 Linux 管理主机展开活动，并利用被攻陷的可信基础设施收集网络流量和凭据、压制活动痕迹，以及探索相连环境。10
36
已披露的迹象包括：
- 一条活跃但未出现在预期配置或提交历史中的 GRE 隧道；
9
10
- 在被攻陷路由器上进行流量收集，并压制日志或其他活动证据；
- 面向 TACACS 认证流的凭据收集工具集 TacTap；
- 伪装成 Zabbix 相关进程、部署在 GRE 相连 Linux 主机上的 BridgeAgent 植入程序。
对 AI 数据中心而言，交换机、路由器、AAA/TACACS 服务与管理主机都应被视为关键安全边界，而不只是“转发流量的设备”。
实操检查清单
- 盘点并确认范围： 找出采用 Silicon One 集成的 Nexus 9000，逐台核验运行模式、型号和软件版本。
- 消除非必要可达性： 梳理所有通往默认 L3 VRF 的路径，阻断不受信任来源访问 TCP/43210 与 TCP/43211。
- 优先修补关键节点： 对承载生产业务或 AI 网络织构流量的受影响交换机优先部署修复版本。
2
- 隔离特权基础设施： 将管理网络及 TACACS/AAA 服务与工作负载、通用网络分段隔离。
- 部署独立遥测： 将日志输出到设备自身难以篡改的系统，并调查日志或命令输出中的异常缺口。
- 建立隧道与控制面基线： 审查 GRE 隧道、异常接口、路由变更和可疑抓包活动，尤其是 IOS XR 设备。
- 保护管理凭据： 审查 TACACS 访问记录；一旦怀疑失陷，应轮换凭据并调查异常认证行为。
CVE-2026-20212 是一项需要“修补加封控”同步推进的紧急风险。Fire Ant 的案例则提醒我们：连接算力系统的可信网络设备，必须获得与计算系统同等严格的监控、分段与响应能力。
Studio Global AI
继续你的研究
此页面包含一个有来源支持的答案，您可以在 Studio Global 内继续。
人们还问
“CVE-2026-20212：Nexus 9000 的根权限漏洞，AI 网络织构需优先处置”的简短答案是什么？
CVE 2026 20212 的 CVSS 评分为 9.8。可访问默认 L3 VRF 内 TCP/43210 或 TCP/43211 的未认证攻击者，可能获得 root 级代码执行能力，或使交换机重载。[17][20]
首先要验证的关键点是什么？
CVE 2026 20212 的 CVSS 评分为 9.8。可访问默认 L3 VRF 内 TCP/43210 或 TCP/43211 的未认证攻击者，可能获得 root 级代码执行能力，或使交换机重载。[17][20] 影响范围并非全部 Nexus 9000，而是部分基于 Silicon One 的平台；报道称 ACI 模式 Fabric 交换机不受此特定漏洞影响，但仍须按具体型号、模式和软件版本核验。[2][48]
接下来在实践中我应该做什么？
Fire Ant 尚未被公开证实利用该 CVE；但其针对 IOS XR 路由器、TACACS 与 Linux 管理主机的行动说明，受控网络设备可成为流量侦收、凭据窃取和横向渗透的高价值跳板。[10][36]