Cisco NX-OS: fallos críticos en Nexus 3000 y 9000, y más

📌 Novedades posteriores: Cisco: RCE crítica en Expressway y fallos en Unified CM y Snort 3 (21 de octubre de 2026) · Cisco NX-API (CVE-2026-76471): también afecta a los UCS 6300 (13 de octubre de 2026)

El 7 de octubre de 2026 Cisco publicó un nuevo grupo de avisos de seguridad. Según SecurityWeek, las correcciones abarcan 35 vulnerabilidades, más de una docena de ellas críticas, en NX-OS, Cisco License, APIC, Meraki y Finesse. El caso más relevante para los centros de datos afecta a los switches Nexus 3000 y 9000: BleepingComputer informa de cinco vulnerabilidades críticas que, en ciertas configuraciones, permiten ejecutar código como root en el switch.

La noticia la publican dos medios, BleepingComputer y SecurityWeek: a continuación, cada dato se atribuye a su fuente. Ninguno de los dos indica las puntuaciones CVSS de los fallos de NX-OS, que hay que consultar en los avisos de Cisco. Según ambos, Cisco no tenía constancia de explotación; para BleepingComputer, los fallos de NX-OS se descubrieron en pruebas internas.

NX-OS: cinco fallos críticos en Nexus 3000 y 9000

Según BleepingComputer, las cinco vulnerabilidades se deben a una validación insuficiente de los datos recibidos y afectan a los Nexus 3000 y 9000 en modo NX-OS standalone, solo si está activa al menos una de tres funciones: NX-API, Next Generation OAM (NGOAM) o MPLS OAM. Si la ejecución de código no tiene éxito, el atacante aún puede hacer caer procesos y provocar el reinicio del switch.

• CVE-2026-76471: una petición HTTP manipulada enviada a NX-API, desactivada por defecto.
• CVE-2026-76485, CVE-2026-76486 y CVE-2026-76501: paquetes manipulados enviados a una interfaz IP, con NGOAM activo. La CVE-2026-76486 requiere además SRv6 o NV Overlay (un VNI VXLAN EVPN asociado a una interfaz NVE, con al menos un VTEP remoto aprendido); la CVE-2026-76501 requiere SRv6, compatible solo con algunos Nexus 9000.
• CVE-2026-76465: paquetes MPLS echo-request manipulados enviados a una dirección IP del switch. MPLS OAM está desactivado por defecto; los Nexus 9000 con ASIC Silicon One no lo admiten y no están afectados.

No están afectados los Nexus 7000 ni los Nexus 9000 en modo ACI.

SecurityWeek precisa que la CVE-2026-76471 y la CVE-2026-76465 se pueden explotar en remoto y sin autenticación. Las fuentes no coinciden en el número: para BleepingComputer los fallos críticos de NX-OS son cinco, mientras que según SecurityWeek NX-OS recibió 14 correcciones, siete críticas, con además la CVE-2026-76455 y la CVE-2026-76459, que agrupan fallos de control de acceso y de escritura fuera de los límites de la memoria. Estas dos CVE solo las cita SecurityWeek.

En términos de MITRE ATT&CK, la explotación corresponde a T1190 (Exploit Public-Facing Application) y, para el reinicio forzado, a T1499.004 (Endpoint Denial of Service: Application or System Exploitation). Las fuentes no publican indicadores de compromiso.

Cisco License, APIC, Meraki y Finesse

• Cisco License (antes Smart Software Manager). BleepingComputer cita CVE-2026-76480 (función crítica sin autenticación, CVSS 9.8), CVE-2026-76482 (verificación incorrecta de la firma criptográfica, CVSS 10.0), CVE-2026-76483 (credenciales mal protegidas, CVSS 9.1) y CVE-2026-76484 (inyección de código, CVSS 8.8): las versiones afectadas son vulnerables con cualquier configuración, no hay workarounds y la corrección está en la 10-202609; las versiones antiguas de Smart Software Manager no recibirán parche y hay que migrarlas. SecurityWeek habla de License On-Prem, con cinco CVE críticas: las tres primeras más la CVE-2026-20328 (acceso no autorizado) y la CVE-2026-76454 (denegación de servicio), explotables sin autenticación. La CVE-2026-76484 solo aparece en BleepingComputer; las otras dos, solo en SecurityWeek.
• APIC, según SecurityWeek: tres CVE críticas (CVE-2026-76498, -76499 y -76500) de control de acceso, inyección de comandos del sistema operativo y memoria.
• Meraki, según SecurityWeek: una versión de hardening con siete CVE; la más grave, CVE-2026-76464, cubre desbordamientos de búfer y escrituras fuera de límites.
• Finesse, según SecurityWeek: una SSRF de gravedad alta ya divulgada, CVE-2026-20362.

Impacto para las empresas europeas e italianas

Los Nexus 3000 y 9000 están en los centros de datos de empresas, proveedores de nube y hosting y operadores de telecomunicaciones. Las condiciones descritas, como NGOAM con SRv6 o con NV Overlay sobre VXLAN EVPN, son típicas de las fabrics de centro de datos y de las redes de los proveedores: ahí conviene revisar primero. Un switch tomado con privilegios de root, o reiniciado una y otra vez, puede detener todo un segmento del centro de datos.

Para las entidades sujetas a NIS2, sobre todo en infraestructuras digitales y servicios gestionados, el caso entra en la gestión de vulnerabilidades con prioridades y plazos documentados; una interrupción significativa causada por un ataque debe evaluarse para su notificación al CSIRT nacional (en Italia, CSIRT Italia de la ACN). En sanidad, el reinicio de un switch de core deja inaccesibles las aplicaciones clínicas.

Qué hacer ya

1. Haz inventario de los Nexus 3000 y 9000, con la versión de NX-OS (show version) y el modo (standalone o ACI).
2. Comprueba las funciones activas con show running-config | include feature: busca NX-API, NGOAM, MPLS OAM, NV Overlay y SRv6.
3. Desactiva NX-API, NGOAM y MPLS OAM donde no hagan falta: es la recomendación de Cisco que recoge BleepingComputer.
4. Actualiza NX-OS a la versión indicada por Cisco Software Checker, empezando por los switches con NX-API accesible y las fabrics con NGOAM. Si no puedes reiniciar enseguida, según BleepingComputer Cisco ofrece protecciones temporales Live Protect para los cinco fallos.
5. Limita el acceso a las interfaces de gestión, empezando por NX-API, con una red de gestión separada y listas de acceso: buena práctica general, no sustituye la actualización.
6. Vigila reinicios inesperados, caídas de procesos y peticiones HTTP anómalas a NX-API, enviando los logs de los switches a un sistema externo.
7. Actualiza Cisco License a la 10-202609, planifica la migración de las instalaciones antiguas y revisa en los avisos de Cisco APIC, Meraki y Finesse.

Cómo ayuda ARXDOME

ARX Sentry recoge los logs de firewalls y dispositivos de red en un colector central: los reinicios inesperados y las caídas de procesos quedan registrados fuera del switch y son más fáciles de reconstruir. ARX Expose muestra qué servicios expone tu empresa en Internet y cuáles tienen vulnerabilidades conocidas, para que compruebes que una interfaz de gestión como NX-API no sea accesible desde fuera.

Última actualización: 8 de octubre de 2026