Cisco warnt vor kritischer Sicherheitslücke in Nexus 9000 Switches für KI Rechenzentren

Cisco ↗ 0.57% hat am 2. September 2026 eine kritische Sicherheitslücke in seinen Nexus 9000 Series Switches mit Silicon One ASICs gemeldet. Die Schwachstelle könnte es nicht authentifizierten Angreifern ermöglichen, Code mit Root Rechten auf Hardware auszuführen, die das Rückgrat vieler der weltweit größten KI Rechenzentren bildet. Die Bekanntgabe erfolgte zeitgleich mit einem Sicherheitsupdate für IOS XR und nur wenige Tage nachdem das Cybersicherheitsunternehmen Sygnia aufgedeckt hatte, dass eine mit China verknüpfte Spionagegruppe Cisco Router kompromittiert hatte, um Anmeldedaten zu stehlen und den Datenverkehr zu überwachen.

Eine Schwachstelle mit Schweregrad 9.8 in zentraler Rechenzentrumshardware

Die unter CVE-2026-20212 geführte Schwachstelle weist einen CVSS Score von 9.8 von 10 auf. Sie entsteht dadurch, dass die TCP Ports 43210 und 43211 über die standardmäßige Layer 3 Virtual Routing and Forwarding Instanz auf betroffenen Switches erreichbar sind. Ein Angreifer mit Netzwerkzugriff kann manipulierte Eingaben an diese Ports senden und Root Rechte erlangen oder den S1HAL Prozess zum Absturz bringen, was einen Neustart des Geräts erzwingt.theroboticsmedia+3

Zehn Nexus 9000 Modelle sind betroffen, darunter die modularen Plattformen N9K-C9804 und N9K-C9808. Nexus 9000 Switches im ACI Modus sowie Nexus 3000, Nexus 7000 und mehrere andere Produktfamilien sind nachweislich nicht betroffen. Cisco gab an, dass die Lücke im Rahmen eines Support Falls durch das Technical Assistance Center entdeckt wurde und nicht durch aktive Ausnutzung. Das PSIRT berichtete zum Zeitpunkt der Veröffentlichung von keiner bekannten böswilligen Nutzung. Das Unternehmen hat korrigierte NX-OS Software bereitgestellt und empfiehlt als vorübergehende Maßnahme die Einrichtung von ACLs zur Sperrung der beiden Ports.cyberpress+3

Am selben Tag veröffentlichte Cisco ein separates Sicherheitsupdate für IOS XR, das sieben Schwachstellengruppen adressiert, von denen zwei ebenfalls einen CVSS Score von 9.8 aufweisen.thehackernews+1

China verbundene Gruppe nutzte Router als Spionageplattformen

Wenige Tage vor den Warnmeldungen von Cisco veröffentlichte Sygnia Forschungsergebnisse darüber, wie eine mit China verbundene Gruppe, die als Fire Ant verfolgt wird, Cisco IOS XR Router kompromittiert hatte. Sie nutzten diese, um Datenverkehr abzufangen, Administrator Anmeldedaten zu stehlen und kritische Infrastrukturnetzwerke auszuspähen. Ermittler entdeckten einen unerklärlichen GRE Tunnel auf einem Router, der in den Konfigurationsaufzeichnungen des Geräts nicht auftauchte, was eine tiefergehende Untersuchung auslöste.bleepingcomputer+1

Fire Ant setzte maßgeschneiderte Malware auf den Routern ein, unterdrückte selektiv Syslog Meldungen, um sich vor Administratoren zu verbergen, und erfasste Netzwerkverkehr, der auf externe Server hochgeladen wurde. Die Gruppe kompromittierte zudem TACACS Authentifizierungsserver mit einem bisher nicht dokumentierten Tool namens TacTap, um Anmeldedaten während der Anmeldung von Administratoren abzugreifen. Eine zweite Hintertür, BridgeAgent, war als Zabbix Monitoring Agent getarnt und bot dauerhaften Root Zugriff.cybersecuritydive+1

"Fire Ant sammelte Netzwerkverkehr und administrative Anmeldedaten, kartierte Routen und Vertrauensbeziehungen, etablierte mehrere Mechanismen für dauerhaften Zugriff und manipulierte Beweise, um die Entdeckungswahrscheinlichkeit zu verringern", sagte Asaf Perlman, Direktor für Incident Response bei Sygnia, gegenüber Cybersecurity Dive.cybersecuritydive

Konvergierende Bedrohungen für die KI Infrastruktur

Die beiden Offenlegungen unterstreichen eine wachsende Angriffsfläche für Organisationen, die KI Workloads betreiben. Die Nexus 9000 Silicon One Switches dienen als Backbone Infrastruktur für den GPU zu GPU Datenverkehr in groß angelegten KI Trainingsclustern. Eine Kompromittierung solcher Hardware auf Root Ebene könnte es einem Angreifer ermöglichen, Daten zwischen GPUs abzufangen oder zu manipulieren und so die auf Softwareebene implementierten Schutzmaßnahmen zu umgehen.forkast

Sygnias Forschung beschrieb den Ansatz von Fire Ant als Verfolgung eines "Ziels hinter dem Ziel" – zuerst die Kontrolle über vertrauenswürdige Netzwerkgeräte zu erlangen und diese dann als Brücke in verbundene, hochsensible Umgebungen zu nutzen. Ciscos IOS XR Warnmeldung nimmt keinen Bezug auf Fire Ant oder die Erkenntnisse von Sygnia, und Sygnia identifizierte keine spezifische Cisco Schwachstelle, die bei den Eindringversuchen verwendet wurde.ntd+2