Cisco NX-API (CVE-2026-76471): también afecta a los UCS 6300

El 8 de octubre de 2026 ARX News describió los fallos críticos corregidos por Cisco en NX-OS, entre ellos la CVE-2026-76471 en NX-API, señalada entonces para los switches Nexus 3000 y 9000. El 13 de octubre de 2026 INCIBE-CERT, el CSIRT nacional español, publicó un aviso dedicado solo a esta vulnerabilidad (identificador INCIBE-2026-731, importancia «5 - Crítica») que añade un detalle relevante: entre los productos afectados también están los Cisco UCS 6300 Series Fabric Interconnects, con sus versiones corregidas.

Este artículo se basa en una sola fuente, el aviso de INCIBE-CERT: a continuación, cada dato se le atribuye. El aviso no indica la puntuación CVSS ni indicadores de compromiso; en la tabla de CVE el campo «Explotación» es «No», es decir, no consta explotación.

La vulnerabilidad en breve

Según INCIBE-CERT, la CVE-2026-76471 es un desbordamiento de búfer basado en montículo (heap buffer overflow) debido a una validación insuficiente de los datos enviados a NX-API, la interfaz de programación de NX-OS accesible por HTTP. Con una solicitud HTTP manipulada, un atacante puede:

• ejecutar código arbitrario con privilegios de root en el dispositivo;
• o bien provocar fallos en los procesos y el reinicio del dispositivo, con una denegación de servicio.

El aviso describe al atacante como remoto y no autenticado, con una excepción importante para los UCS 6300 (ver a continuación).

Productos afectados: también los UCS 6300

INCIBE-CERT enumera las versiones vulnerables de Cisco NX-OS en tres familias de productos:

• Nexus 3000 con la función NX-API habilitada;
• Nexus 9000 en modo NX-OS independiente (standalone), con NX-API habilitada;
• UCS 6300 Series Fabric Interconnects.

En los Nexus 3000 y 9000, NX-API está deshabilitada de forma predeterminada: el switch solo está expuesto si alguien la ha activado, normalmente para automatización o herramientas de gestión. En los UCS 6300, en cambio, según INCIBE-CERT la explotación requiere credenciales válidas, aunque sean de privilegios reducidos. El aviso no dice si en los UCS 6300 la función está activa de serie.

La diferencia cuenta para las prioridades: en los Nexus el riesgo depende de la configuración; en los UCS 6300, de las cuentas que pueden acceder al Fabric Interconnect. En los sistemas UCS, los Fabric Interconnect, normalmente instalados en pareja, son el punto por el que pasan la conectividad y la gestión de los servidores del dominio: un reinicio forzado o un compromiso con privilegios de root afectan a todos los servidores conectados.

Versiones corregidas y mitigaciones

Según INCIBE-CERT:

• NX-OS (Nexus 3000 y 9000): actualizar a la primera versión corregida para cada plataforma, indicada por Cisco Software Checker. El aviso no enumera los números de versión.
• UCS 6300 Series Fabric Interconnects: con la versión 4.2 o anteriores hay que migrar a una versión corregida; con la 4.3 hay que actualizar a la 4.3(6j) o posterior.
• No existen soluciones alternativas. Para NX-OS, Cisco ha publicado un escudo Live Protect como mitigación temporal, pero recomienda instalar la actualización.

Desactivar NX-API donde no se necesite, como se indicó en el artículo del 8 de octubre, elimina en los Nexus la condición que exige el aviso, pero no es una solución alternativa oficial y no sustituye a la actualización.

En términos de MITRE ATT&CK, la explotación corresponde a T1190 (Exploit Public-Facing Application); en los UCS 6300, donde hacen falta credenciales, se añade T1078 (Valid Accounts); el reinicio forzado corresponde a T1499.004 (Endpoint Denial of Service: Application or System Exploitation).

Impacto para las empresas europeas e italianas

Los UCS 6300 están en los centros de datos de empresas, proveedores de servicios gestionados y administraciones públicas, a menudo bajo los clústeres de virtualización. El requisito de credenciales reduce la exposición, pero no la elimina: basta una cuenta de privilegios reducidos, quizá usada por una herramienta de monitorización o por un proveedor externo, para llegar a ejecutar código como root en el Fabric Interconnect. Quien aún tenga UCS 6300 con la versión 4.2 o anteriores no dispone de una actualización directa y debe planificar una migración.

Para las entidades sujetas a NIS2, el caso entra en la gestión de vulnerabilidades con prioridades y plazos documentados; una interrupción significativa causada por un ataque debe evaluarse a efectos de la notificación al CSIRT nacional (en Italia, CSIRT Italia de la ACN). En la sanidad, la caída de los Fabric Interconnect detendría los servidores de las aplicaciones clínicas alojadas en ese dominio UCS.

Qué hacer ya

1. Haz el inventario de los Fabric Interconnect UCS 6300 y de su versión, además de los Nexus 3000 y 9000 ya revisados tras el aviso del 8 de octubre.
2. Actualiza los UCS 6300 con la versión 4.3 a la 4.3(6j) o posterior; para la 4.2 y anteriores, planifica la migración a una versión corregida.
3. Comprueba NX-API en los Nexus con show feature | include nxapi y desactívala donde no se necesite; después actualiza NX-OS a la versión indicada por Cisco Software Checker.
4. Revisa las cuentas que acceden a los UCS 6300: elimina las que no se usan o se comparten y controla las de proveedores y herramientas de monitorización.
5. Limita el acceso a las interfaces de gestión con una red dedicada y listas de acceso: buena práctica general, no sustituye a la actualización.
6. Usa Live Protect en NX-OS solo como puente, si no puedes actualizar de inmediato.
7. Vigila los reinicios inesperados, los fallos de procesos y las solicitudes HTTP anómalas hacia NX-API, enviando los registros de los dispositivos a un sistema externo.

Cómo ayuda ARXDOME

ARX Sentry recoge los registros de firewalls y dispositivos de red en un colector central: los reinicios inesperados, los fallos y los accesos de gestión quedan registrados fuera del dispositivo, aunque este se reinicie. ARX Expose muestra qué servicios expone tu empresa en Internet y cuáles tienen vulnerabilidades conocidas, para que puedas comprobar que ninguna interfaz de gestión sea accesible desde fuera.

Última actualización: 13 de octubre de 2026