Ciscoは、Nexus 3000シリーズおよびNexus 9000シリーズのデータセンタースイッチで使用されるネットワークOS、NX-OSに存在する5件の重大な脆弱性についてセキュリティアドバイザリーを公開した。これらの脆弱性により、攻撃者はroot権限で任意のコードを実行したり、システムプロセスを停止させて機器を強制的に再起動させたりできる可能性があり、サービス拒否状態につながる。
問題はすべての機器に同じ形で影響するわけではない。悪用には、NX-API、Next Generation OAM（NGOAM）、MPLS OAMのいずれか1つ以上の機能が有効である必要がある。また、影響範囲に入るには、スイッチがスタンドアロンのNX-OSモードで動作している必要がある。Ciscoは、脆弱性が社内のセキュリティテスト中に発見されたものであり、アドバイザリー公開時点で、公に悪用されていることや実際の攻撃で利用されていることは把握していないと述べた。
脆弱性の詳細と悪用条件
- CVE-2026-76471：入力検証の不備。デフォルトで無効になっているNX-APIに、細工したHTTPリクエストを送信することで悪用できる。
- CVE-2026-76485、CVE-2026-76486、CVE-2026-76501：IPトラフィックの検証エラー。NGOAMが有効な場合、細工したパケットによって悪用できる。
- CVE-2026-76465：MPLS echo-requestパケットの検証不備。デフォルトで無効になっているMPLS OAMを有効にする必要がある。
CVE-2026-76486の悪用には、Segment Routing over IPv6（SRv6）またはNetwork Virtualization（NV）Overlayも有効にする必要がある。一方、CVE-2026-76501ではSRv6を有効にする必要があり、この機能は一部のNexus 9000モデルでのみサポートされている。Nexus 7000スイッチおよびACIモードで動作するNexus 9000スイッチは、5件の脆弱性のいずれの影響も受けない。また、Silicon Oneチップを搭載したNexus 9000スイッチはMPLS OAMをサポートしていないため、CVE-2026-76465の影響を受けない。
ネットワーク管理者が行うべきこと
Ciscoは、同社のSoftware Checkerツールを使用して、NX-OSを修正済みバージョンへアップグレードするよう推奨している。直ちにスイッチを更新して再起動できない場合、同社は5件の脆弱性向けにLive Protectという一時的な保護策を提供している。また、運用上必要でない場合は、NX-API、NGOAM、MPLS OAMを無効にし、それらに関連する攻撃経路を排除することも推奨している。
Cisco Licenseの追加の脆弱性
セキュリティ更新には、以前はSmart Software Managerとして知られていたCisco Licenseに関する4件の問題も含まれている。問題には、CVE-2026-76480における重要な機能の認証欠如（CVSSスコア9.8）、CVE-2026-76482における暗号署名の検証不備（10.0）、CVE-2026-76483における認証情報の保護不足（9.1）、CVE-2026-76484におけるコードインジェクション（8.8）が含まれる。
該当するバージョンは、設定にかかわらず影響を受け、利用可能な回避策はない。Ciscoはバージョン10-202609へのアップグレードを推奨している。Smart Software Managerの名称が付いた旧バージョンには修正が提供されないため、サポート対象のバージョンへ移行する必要がある。
このアドバイザリーが実務上重要なのは、悪用可能性が公開インターフェース上の単一の欠陥の存在だけで決まるのではなく、データセンター環境で必要となる可能性がある特定の運用構成にも左右されるためだ。そのため、ネットワーク管理者は、NX-APIだけを無効にすればすべてのケースに対処できると想定するのではなく、有効な機能とNX-OSのバージョンをCiscoの指針と照合する必要がある。