Cisco NX-OS: vulnerabilități critice în Nexus 3000 și 9000

📌 Evoluții ulterioare: Cisco: RCE critică în Expressway, breșe în Unified CM și Snort 3 (21 octombrie 2026) · Cisco NX-API (CVE-2026-76471): afectate și UCS 6300 (13 octombrie 2026)

Pe 7 octombrie 2026, Cisco a publicat un nou set de buletine de securitate. Potrivit SecurityWeek, corecțiile acoperă 35 de vulnerabilități, peste o duzină dintre ele critice, în NX-OS, Cisco License, APIC, Meraki și Finesse. Cazul cel mai relevant pentru centrele de date privește switch-urile Nexus 3000 și 9000: BleepingComputer relatează despre cinci vulnerabilități critice care, în anumite configurații, permit executarea de cod ca root pe switch.

Știrea este relatată de două publicații, BleepingComputer și SecurityWeek: în continuare, fiecare informație este atribuită sursei sale. Niciuna nu indică scorurile CVSS ale vulnerabilităților din NX-OS, care trebuie verificate în buletinele Cisco. Potrivit ambelor, Cisco nu avea cunoștință de exploatări; după BleepingComputer, vulnerabilitățile din NX-OS au fost descoperite prin teste interne.

NX-OS: cinci vulnerabilități critice în Nexus 3000 și 9000

Potrivit BleepingComputer, toate cele cinci vulnerabilități provin dintr-o validare insuficientă a datelor primite și afectează switch-urile Nexus 3000 și 9000 în modul NX-OS standalone, numai dacă este activă cel puțin una dintre trei funcții: NX-API, Next Generation OAM (NGOAM) sau MPLS OAM. Dacă executarea de cod nu reușește, atacatorul poate totuși să oprească procese și să provoace repornirea switch-ului.

• CVE-2026-76471: o cerere HTTP special construită trimisă către NX-API, dezactivat implicit.
• CVE-2026-76485, CVE-2026-76486 și CVE-2026-76501: pachete special construite trimise către o interfață IP, cu NGOAM activ. CVE-2026-76486 necesită în plus SRv6 sau NV Overlay (un VNI VXLAN EVPN asociat unei interfețe NVE, cu cel puțin un VTEP la distanță învățat); CVE-2026-76501 necesită SRv6, suportat doar de unele modele Nexus 9000.
• CVE-2026-76465: pachete MPLS echo-request special construite trimise către o adresă IP a switch-ului. MPLS OAM este dezactivat implicit; switch-urile Nexus 9000 cu ASIC Silicon One nu îl suportă și nu sunt afectate.

Nu sunt afectate switch-urile Nexus 7000 și Nexus 9000 în modul ACI.

SecurityWeek precizează că CVE-2026-76471 și CVE-2026-76465 pot fi exploatate de la distanță și fără autentificare. Sursele nu concordă asupra numărului: pentru BleepingComputer, vulnerabilitățile critice din NX-OS sunt cinci, în timp ce, potrivit SecurityWeek, NX-OS a primit 14 corecții, dintre care șapte critice, cu în plus CVE-2026-76455 și CVE-2026-76459, care grupează defecte de control al accesului și de scriere în afara limitelor memoriei. Aceste două CVE sunt menționate doar de SecurityWeek.

În termeni MITRE ATT&CK, exploatarea se încadrează în T1190 (Exploit Public-Facing Application) și, pentru repornirea forțată, în T1499.004 (Endpoint Denial of Service: Application or System Exploitation). Sursele nu publică indicatori de compromitere.

Cisco License, APIC, Meraki și Finesse

• Cisco License (fostul Smart Software Manager). BleepingComputer menționează CVE-2026-76480 (funcție critică fără autentificare, CVSS 9.8), CVE-2026-76482 (verificare incorectă a semnăturii criptografice, CVSS 10.0), CVE-2026-76483 (credențiale protejate insuficient, CVSS 9.1) și CVE-2026-76484 (injectare de cod, CVSS 8.8): versiunile afectate sunt vulnerabile indiferent de configurație, nu există soluții de ocolire, iar corecția este în 10-202609; versiunile vechi Smart Software Manager nu vor primi corecția și trebuie migrate. SecurityWeek vorbește despre License On-Prem, cu cinci CVE critice: primele trei plus CVE-2026-20328 (acces neautorizat) și CVE-2026-76454 (denial of service), exploatabile fără autentificare. CVE-2026-76484 apare doar la BleepingComputer, celelalte două doar la SecurityWeek.
• APIC, potrivit SecurityWeek: trei CVE critice (CVE-2026-76498, -76499 și -76500) pentru control al accesului, injectare de comenzi ale sistemului de operare și probleme de memorie.
• Meraki, potrivit SecurityWeek: o versiune de hardening cu șapte CVE; cea mai gravă, CVE-2026-76464, acoperă buffer overflow și scrieri în afara limitelor.
• Finesse, potrivit SecurityWeek: o vulnerabilitate SSRF de gravitate ridicată, deja făcută publică, CVE-2026-20362.

Impactul pentru companiile europene și italiene

Switch-urile Nexus 3000 și 9000 se află în centrele de date ale companiilor, ale furnizorilor de cloud și hosting și ale operatorilor de telecomunicații. Condițiile descrise, precum NGOAM cu SRv6 sau cu NV Overlay pe VXLAN EVPN, sunt tipice pentru fabric-urile din centrele de date și pentru rețelele furnizorilor: acolo merită verificat mai întâi. Un switch preluat cu privilegii root, sau repornit în mod repetat, poate opri un întreg segment al centrului de date.

Pentru entitățile supuse NIS2, mai ales în infrastructura digitală și în serviciile gestionate, cazul ține de gestionarea vulnerabilităților, cu priorități și termene documentate; o întrerupere semnificativă cauzată de un atac trebuie evaluată în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN). În sănătate, repornirea unui switch de core face aplicațiile clinice inaccesibile.

Ce să faci imediat

1. Fă inventarul switch-urilor Nexus 3000 și 9000, cu versiunea NX-OS (show version) și modul de funcționare (standalone sau ACI).
2. Verifică funcțiile active cu show running-config | include feature: caută NX-API, NGOAM, MPLS OAM, NV Overlay și SRv6.
3. Dezactivează NX-API, NGOAM și MPLS OAM acolo unde nu sunt necesare: este recomandarea Cisco relatată de BleepingComputer.
4. Actualizează NX-OS la versiunea indicată de Cisco Software Checker, începând cu switch-urile cu NX-API accesibil și cu fabric-urile cu NGOAM. Dacă nu poți reporni imediat, potrivit BleepingComputer Cisco oferă protecții temporare Live Protect pentru toate cele cinci vulnerabilități.
5. Limitează accesul la interfețele de administrare, începând cu NX-API, printr-o rețea de administrare separată și liste de acces: o bună practică generală, care nu înlocuiește actualizarea.
6. Urmărește repornirile neașteptate, căderile de procese și cererile HTTP anormale către NX-API, trimițând jurnalele switch-urilor către un sistem extern.
7. Actualizează Cisco License la 10-202609, planifică migrarea instalărilor vechi și verifică în buletinele Cisco APIC, Meraki și Finesse.

Cum ajută ARXDOME

ARX Sentry colectează jurnalele firewall-urilor și ale dispozitivelor de rețea într-un colector central: repornirile neașteptate și căderile de procese rămân înregistrate în afara switch-ului și sunt mai ușor de reconstituit. ARX Expose arată ce servicii expune compania ta pe Internet și care au vulnerabilități cunoscute, ca să poți verifica faptul că o interfață de administrare precum NX-API nu este accesibilă din exterior.

Ultima actualizare: 8 octombrie 2026