Cisco NX-API (CVE-2026-76471): afectate și UCS 6300

Pe 8 octombrie 2026, ARX News a descris vulnerabilitățile critice corectate de Cisco în NX-OS, printre care CVE-2026-76471 din NX-API, semnalată atunci pentru switch-urile Nexus 3000 și 9000. Pe 13 octombrie 2026, INCIBE-CERT, CSIRT-ul național al Spaniei, a publicat un aviz dedicat doar acestei vulnerabilități (identificator INCIBE-2026-731, importanță «5 - Crítica») care adaugă un detaliu important: printre produsele afectate se află și Cisco UCS 6300 Series Fabric Interconnects, împreună cu versiunile corectate.

Acest articol se bazează pe o singură sursă, avizul INCIBE-CERT: în continuare, fiecare informație îi este atribuită. Avizul nu indică scorul CVSS și nici indicatori de compromitere; în tabelul CVE, câmpul «Explotación» are valoarea «No», adică nu sunt raportate exploatări.

Vulnerabilitatea pe scurt

Potrivit INCIBE-CERT, CVE-2026-76471 este un heap buffer overflow cauzat de validarea insuficientă a datelor trimise către NX-API, interfața de programare a NX-OS accesibilă prin HTTP. Cu o cerere HTTP special construită, un atacator poate:

• executa cod arbitrar cu privilegii de root pe dispozitiv;
• alternativ, poate provoca prăbușirea unor procese și repornirea dispozitivului, adică un denial of service.

Avizul descrie atacatorul ca fiind de la distanță și neautentificat, cu o excepție importantă pentru UCS 6300 (vezi în continuare).

Produse afectate: și UCS 6300

INCIBE-CERT enumeră versiunile vulnerabile de Cisco NX-OS pe trei familii de produse:

• Nexus 3000 cu funcția NX-API activată;
• Nexus 9000 în modul NX-OS standalone, cu NX-API activată;
• UCS 6300 Series Fabric Interconnects.

Pe Nexus 3000 și 9000, NX-API este dezactivată implicit: switch-ul este expus doar dacă cineva a activat-o, de obicei pentru automatizare sau pentru instrumente de administrare. Pe UCS 6300, în schimb, potrivit INCIBE-CERT exploatarea necesită credențiale valide, chiar și cu privilegii reduse. Avizul nu spune dacă funcția este activă implicit pe UCS 6300.

Diferența contează pentru priorități: pe Nexus riscul depinde de configurație, pe UCS 6300 de conturile care pot accesa Fabric Interconnect-ul. În sistemele UCS, Fabric Interconnect-urile, instalate de obicei în pereche, sunt punctul prin care trec conectivitatea și administrarea serverelor din domeniu: o repornire forțată sau o compromitere cu privilegii de root afectează toate serverele conectate.

Versiuni corectate și măsuri de atenuare

Potrivit INCIBE-CERT:

• NX-OS (Nexus 3000 și 9000): actualizare la prima versiune corectată pentru fiecare platformă, indicată de Cisco Software Checker. Avizul nu enumeră numerele de versiune.
• UCS 6300 Series Fabric Interconnects: cu versiunea 4.2 sau anterioare trebuie migrat la o versiune corectată; cu 4.3 trebuie actualizat la 4.3(6j) sau ulterioară.
• Nu există soluții alternative (workaround). Pentru NX-OS, Cisco a publicat un shield Live Protect ca măsură temporară, dar recomandă instalarea actualizării.

Dezactivarea NX-API acolo unde nu este necesară, așa cum s-a arătat în articolul din 8 octombrie, elimină pe Nexus condiția cerută de aviz, dar nu este un workaround oficial și nu înlocuiește actualizarea.

În termeni MITRE ATT&CK, exploatarea intră în T1190 (Exploit Public-Facing Application); pe UCS 6300, unde sunt necesare credențiale, se adaugă T1078 (Valid Accounts); repornirea forțată intră în T1499.004 (Endpoint Denial of Service: Application or System Exploitation).

Impactul pentru companiile europene și italiene

Sistemele UCS 6300 se găsesc în centrele de date ale companiilor, ale furnizorilor de servicii gestionate și ale administrațiilor publice, adesea sub clusterele de virtualizare. Cerința credențialelor reduce expunerea, dar nu o elimină: un singur cont cu privilegii reduse, poate folosit de un instrument de monitorizare sau de un furnizor extern, ajunge pentru a obține execuție de cod ca root pe Fabric Interconnect. Cine are încă UCS 6300 cu versiunea 4.2 sau anterioare nu are o actualizare directă și trebuie să planifice o migrare.

Pentru entitățile NIS2, cazul intră în gestionarea vulnerabilităților, cu priorități și termene documentate; o întrerupere semnificativă cauzată de un atac trebuie evaluată în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN; în România, DNSC). În sănătate, căderea Fabric Interconnect-urilor ar opri serverele aplicațiilor clinice găzduite în acel domeniu UCS.

Ce să faci acum

1. Fă inventarul Fabric Interconnect-urilor UCS 6300 și al versiunilor lor, pe lângă switch-urile Nexus 3000 și 9000 deja verificate după avizul din 8 octombrie.
2. Actualizează UCS 6300 cu versiunea 4.3 la 4.3(6j) sau ulterioară; pentru 4.2 și anterioare, planifică migrarea la o versiune corectată.
3. Verifică NX-API pe Nexus cu show feature | include nxapi și dezactiveaz-o acolo unde nu e necesară; apoi actualizează NX-OS la versiunea indicată de Cisco Software Checker.
4. Revizuiește conturile care accesează UCS 6300: elimină-le pe cele nefolosite sau partajate și verifică-le pe cele ale furnizorilor și ale instrumentelor de monitorizare.
5. Restricționează accesul la interfețele de administrare cu o rețea dedicată și liste de acces: bună practică generală, nu înlocuiește actualizarea.
6. Folosește Live Protect pe NX-OS doar ca soluție de tranziție, dacă nu poți actualiza imediat.
7. Monitorizează repornirile neașteptate, prăbușirile de procese și cererile HTTP anormale către NX-API, trimițând jurnalele dispozitivelor către un sistem extern.

Cum ajută ARXDOME

ARX Sentry colectează jurnalele firewall-urilor și ale dispozitivelor de rețea într-un colector central: repornirile neașteptate, prăbușirile și accesările de administrare rămân înregistrate în afara dispozitivului, chiar dacă acesta repornește. ARX Expose arată ce servicii expune compania ta pe Internet și care au vulnerabilități cunoscute, ca să poți verifica faptul că nicio interfață de administrare nu este accesibilă din exterior.

Ultima actualizare: 13 octombrie 2026