Cisco emitió avisos de seguridad sobre cinco vulnerabilidades críticas en el sistema operativo de red NX-OS, utilizado en los switches de centros de datos de las series Nexus 3000 y Nexus 9000. Las vulnerabilidades podrían permitir a un atacante ejecutar código arbitrario con privilegios de root, o detener procesos del sistema y forzar la recarga del dispositivo, lo que provocaría una denegación de servicio.
Los problemas no afectan a todos los dispositivos de la misma manera, ya que su explotación requiere activar al menos una de las funciones NX-API, Next Generation OAM (NGOAM) o MPLS OAM. Además, los switches deben operar en modo NX-OS independiente para estar dentro del alcance afectado. Cisco declaró que las vulnerabilidades se descubrieron durante pruebas de seguridad internas y que, en el momento de publicar los avisos, no tenía conocimiento de su explotación pública ni en ataques reales.
Detalles de las vulnerabilidades y condiciones de explotación
- CVE-2026-76471: Un fallo en la validación de entradas que puede explotarse mediante una solicitud HTTP especialmente diseñada dirigida a NX-API, una función desactivada de forma predeterminada.
- CVE-2026-76485, CVE-2026-76486 y CVE-2026-76501: Errores en la validación del tráfico IP que pueden explotarse mediante paquetes especialmente diseñados cuando NGOAM está activado.
- CVE-2026-76465: Un fallo en la validación de paquetes MPLS echo-request, que requiere activar MPLS OAM, una función desactivada de forma predeterminada.
La explotación de CVE-2026-76486 también requiere activar Segment Routing over IPv6 (SRv6) o Network Virtualization (NV) Overlay. CVE-2026-76501 requiere activar SRv6, compatible únicamente con algunos modelos de Nexus 9000. Los switches Nexus 7000 y los switches Nexus 9000 que operan en modo ACI no se ven afectados por ninguna de las cinco vulnerabilidades. Asimismo, los switches Nexus 9000 equipados con chips Silicon One no son compatibles con MPLS OAM y, por lo tanto, no se ven afectados por CVE-2026-76465.
¿Qué deben hacer los administradores de redes?
Cisco recomienda actualizar las versiones de NX-OS a versiones corregidas mediante su herramienta Software Checker. Si no es posible actualizar y reiniciar el switch de inmediato, la empresa ofrece una protección temporal denominada Live Protect para las cinco vulnerabilidades. También recomienda desactivar NX-API, NGOAM o MPLS OAM cuando no exista una necesidad operativa para utilizarlas, con el fin de eliminar las rutas de ataque asociadas.
Vulnerabilidades adicionales en Cisco License
Las actualizaciones de seguridad también incluyeron cuatro problemas en Cisco License, anteriormente conocido como Smart Software Manager. Los problemas incluyen la ausencia de autenticación en funciones críticas en CVE-2026-76480, con una puntuación CVSS de 9.8; una debilidad en la validación de firmas criptográficas en CVE-2026-76482, con una puntuación de 10.0; una protección insuficiente de las credenciales en CVE-2026-76483, con una puntuación de 9.1; y una inyección de código en CVE-2026-76484, con una puntuación de 8.8.
Las versiones afectadas lo están independientemente de su configuración y no cuentan con soluciones temporales. Cisco recomienda actualizar a la versión 10-202609. Las versiones anteriores que llevan el nombre Smart Software Manager no recibirán una corrección, por lo que será necesario migrar a una versión compatible.
La importancia práctica del aviso radica en que la explotabilidad no depende únicamente de la existencia de un fallo en una interfaz pública, sino de combinaciones operativas específicas que pueden ser necesarias en entornos de centros de datos. Por ello, los administradores de redes deben cotejar las funciones activadas y la versión de NX-OS con las directrices de Cisco, en lugar de asumir que desactivar únicamente NX-API resuelve todos los casos.