Cisco ha pubblicato due avvisi critici che richiedono attenzione su IOS XR e su alcuni switch Nexus 9000 con Silicon One. Il primo raggruppa sette classi di vulnerabilità in Cisco IOS XR Software e raggiunge un punteggio CVSS massimo di 9.8. Il secondo riguarda CVE-2026-20212, una falla che può consentire esecuzione di codice da remoto con privilegi root su specifici Nexus 9000.
La situazione va letta senza allarmismi ma con una priorità chiara: Cisco ha già rilasciato software correttivi. Per IOS XR non esistono workaround che sostituiscano l’aggiornamento. Per CVE-2026-20212 sono disponibili mitigazioni temporanee, ma Cisco considera l’upgrade a una release corretta la soluzione definitiva.
Quali vulnerabilità Cisco sono state pubblicate a settembre 2026
Il riepilogo ufficiale Cisco PSIRT del 2 settembre 2026 mette in evidenza due avvisi con classificazione Critical e CVSS 9.8. Il bollettino IOS XR è stato poi aggiornato l’8 settembre 2026, quindi è importante usare la versione più recente dell’advisory e non una copia precedente.
| Avviso | Prodotti | Gravità | Sfruttamento noto | Azione |
|---|---|---|---|---|
| IOS XR Security Hardening September 2026 | Tutte le release IOS XR, incluso IOS XR7 (LNT) | Critical, fino a CVSS 9.8 | No, secondo Cisco | Aggiornare, nessun workaround |
| CVE-2026-20212 | Specifici Nexus 9000 con Silicon One ASIC | Critical, CVSS 9.8 | No, secondo Cisco | Aggiornare; mitigazioni temporanee disponibili |
Cisco IOS XR: perché l’avviso riguarda tutte le release
Il Security Hardening Release di Cisco IOS XR raggruppa sette CVE, da CVE-2026-20274 a CVE-2026-20280, emerse durante test interni. Cisco specifica che sono interessate tutte le release di IOS XR Software, compreso IOS XR7 o LNT, indipendentemente dalla configurazione del dispositivo.
Questo dettaglio cambia il modo in cui un amministratore deve fare triage. Non basta verificare se una certa funzione è attiva o se una particolare interfaccia è esposta. Se il dispositivo esegue IOS XR, il punto di partenza è confrontare la release installata con le versioni corrette indicate da Cisco.
Cisco dichiara che queste vulnerabilità sono state individuate internamente e che non risultano sfruttate attivamente al momento dell’ultimo aggiornamento dell’advisory. Questo riduce l’urgenza rispetto a una zero-day già usata in attacchi reali, ma non elimina il rischio: il massimo CVSS 9.8 e l’assenza di workaround rendono l’aggiornamento la misura concreta da pianificare.
CVE-2026-20212 su Nexus 9000: cosa può succedere
CVE-2026-20212 è distinta dal pacchetto IOS XR. Colpisce l’integrazione Silicon One di alcuni Cisco Nexus 9000 Series Switches. Secondo il bollettino ufficiale Cisco, un attaccante remoto non autenticato può arrivare a eseguire codice con privilegi root sul dispositivo vulnerabile.
La causa è legata all’accessibilità delle porte TCP 43210 e 43211 nel VRF Layer 3 predefinito sui sistemi coinvolti. Lo sfruttamento può anche provocare il crash del processo S1HAL e il riavvio dello switch. Non significa che ogni Nexus 9000 sia vulnerabile: Cisco restringe l’avviso ai modelli che includono un Silicon One ASIC.
Quali Nexus 9000 risultano coinvolti
Al momento della pubblicazione Cisco elenca specifici product ID, tra cui N9324C-SE1U, N9348Y2C6D-SE1U, N9364E-SG2-O, N9364E-SG2-Q, N9396T12C-SE1, N9348Y12C-SE1, N9396Y12C-SE1, N9336C-SE1, N9K-C9804 e N9K-C9808. La lista ufficiale resta il riferimento da controllare prima di prendere una decisione, perché può essere aggiornata.
Cisco conferma anche diversi prodotti non vulnerabili, inclusi Nexus 3000, Nexus 7000 e i Nexus 9000 diversi dai modelli indicati nell’advisory. I Nexus 9000 Fabric Switches in modalità ACI sono dichiarati non coinvolti da questa specifica CVE.
Workaround per Nexus 9000: cosa sono e perché non bastano
Per CVE-2026-20212 Cisco documenta una mitigazione tramite infrastructure access control list, con l’obiettivo di limitare il traffico diretto alle interfacce locali del dispositivo e alle porte interessate. È disponibile anche un Live Protect shield per NX-OS.
Il punto importante è il significato operativo: sono mitigazioni temporanee, non la correzione definitiva. Cisco raccomanda di valutarne l’impatto nella propria rete prima di applicarle e di passare a una release software corretta appena possibile.
Come capire cosa aggiornare senza cambiare release alla cieca
Gli ambienti Cisco possono avere combinazioni molto diverse di hardware, train software e requisiti operativi. Per questo non è utile indicare una singola versione come valida per tutti. La procedura corretta è partire dall’inventario e usare il Cisco Software Checker e le tabelle Fixed Software degli advisory.
- Identifica modello, PID e release software di router e switch coinvolti.
- Se usi IOS XR, considera l’advisory applicabile a tutte le release e controlla il primo software corretto per il tuo ramo.
- Se usi Nexus 9000, verifica se il PID compare tra quelli con Silicon One interessati da CVE-2026-20212.
- Pianifica l’upgrade alla release indicata da Cisco per la tua piattaforma.
- Se l’upgrade non può essere immediato su Nexus 9000, valuta le mitigazioni ufficiali e il loro impatto.
- Dopo l’intervento, verifica versione, servizi di rete e log del dispositivo.
Devi preoccuparti se non ci sono attacchi confermati?
Non serve trattare questi avvisi come prova di una compromissione. Cisco PSIRT dichiara di non essere a conoscenza di sfruttamento attivo delle vulnerabilità IOS XR né di uso malevolo pubblico di CVE-2026-20212 alla data degli advisory. Il dato va però separato dalla gravità tecnica.
Una vulnerabilità remota non autenticata con CVSS 9.8 merita una finestra di aggiornamento stretta anche quando non ci sono campagne note. La stessa logica vale per l’hardening IOS XR: l’assenza di exploit osservati non rende sensato lasciare indefinitamente una release vulnerabile quando il produttore ha già distribuito le correzioni.
Il confronto con MikroTik e gli altri router sotto attacco
Il contesto è diverso dal recente caso MikroTik RouterOS e MikroTrick, dove lo sfruttamento attivo è stato confermato. In quel caso la priorità sale perché esiste già evidenza di attacchi reali. Per Cisco, al momento, siamo nella fase preventiva: patch disponibili prima che l’eventuale finestra di sfruttamento diventi un incidente diffuso.
Per chi gestisce apparati meno complessi resta valido lo stesso principio di base descritto nella nostra guida ai controlli di sicurezza da fare sul router: firmware supportato, accessi amministrativi limitati e servizi esposti solo quando servono.
Cosa fare adesso, in pratica
Se amministri infrastrutture Cisco, verifica oggi stesso l’inventario IOS XR e i PID dei Nexus 9000. Per IOS XR non cercare workaround generici: Cisco dichiara che non ce ne sono per il pacchetto di hardening e la strada è l’upgrade. Per Nexus 9000 con Silicon One puoi usare temporaneamente le mitigazioni ufficiali, ma il risultato finale deve essere una release corretta.
Non ci sono elementi per dire che tutti gli apparati Cisco siano sotto attacco o che ogni Nexus 9000 sia vulnerabile. Ci sono però due advisory Critical con patch disponibili e un RCE remoto senza autenticazione da trattare come priorità di manutenzione.
