Alerta crítica: Cisco ha publicado un aviso de seguridad para una vulnerabilidad de ejecución remota de código y denegación de servicio (DoS) en el software Cisco NX-OS, identificada como CVE-2026-76485. La falla, presente en la funcionalidad VXLAN OAM (NGOAM), permite a un atacante remoto no autenticado ejecutar código arbitrario con privilegios root o provocar la recarga del dispositivo. Se recomienda encarecidamente revisar el aviso oficial y aplicar las actualizaciones o mitigaciones proporcionadas por el fabricante.
Resumen ejecutivo
| CVE | CVE-2026-76485 |
|---|---|
| Fabricante | Cisco |
| Producto | Cisco NX-OS Software |
| Fecha de publicación | 2026-10-07 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad RyzerBot | 250 (crítica) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-76485 es una vulnerabilidad crítica que afecta a la funcionalidad VXLAN Operation, Administration, and Maintenance (OAM) del software Cisco NX-OS, conocida internamente como NGOAM. Esta característica se utiliza para la supervisión y el diagnóstico de redes VXLAN, un protocolo de encapsulación ampliamente desplegado en centros de datos modernos para implementar redes superpuestas (overlay) y segmentación de red.
El origen del fallo reside en una validación incorrecta de la entrada de tráfico IP cuando la funcionalidad NGOAM está habilitada en el dispositivo. Esta deficiencia se clasifica técnicamente como un desbordamiento de búfer basado en pila (CWE-121). Un atacante podría explotar esta debilidad enviando paquetes especialmente diseñados a una interfaz IP del dispositivo afectado.
La gravedad del problema se ve acentuada por dos factores clave:
- Ejecución de código arbitrario con privilegios root: Un exploit exitoso podría otorgar al atacante el control total del sistema operativo del switch o router, permitiéndole modificar la configuración, interceptar tráfico, instalar malware persistente o utilizar el dispositivo como punto de apoyo para ataques posteriores contra la infraestructura de red.
- Denegación de servicio (DoS): El envío de paquetes malformados también podría provocar el fallo de procesos críticos del sistema, lo que resultaría en la recarga del dispositivo y, por tanto, en una interrupción del servicio de red.
La vulnerabilidad es explotable de forma remota y sin necesidad de autenticación, lo que significa que cualquier dispositivo expuesto a una interfaz IP con la funcionalidad NGOAM activa podría ser atacado directamente desde la red. La combinación de acceso remoto, falta de autenticación, impacto total en la confidencialidad, integridad y disponibilidad (C:H/I:H/A:H) y la naturaleza crítica de los dispositivos Cisco NX-OS (habitualmente núcleo de la infraestructura de red) eleva esta vulnerabilidad a un nivel de riesgo máximo.
Dado que el aviso ha sido publicado recientemente (hace menos de 11 horas en el momento de la selección), es probable que la ventana de exposición sea amplia hasta que las organizaciones apliquen los parches correspondientes. La puntuación de prioridad asignada por RyzerBot (250) refleja esta combinación de criticidad, facilidad de explotación y relevancia para la infraestructura de red empresarial.
Es importante destacar que la vulnerabilidad solo es explotable si la funcionalidad NGOAM está habilitada. Sin embargo, no se debe asumir que está deshabilitada por defecto en todos los escenarios; los administradores deben verificar la configuración de sus dispositivos para determinar su exposición real.
En las siguientes secciones de este artículo, detallaremos los productos afectados, el impacto potencial, las opciones de mitigación y proporcionaremos una guía práctica para que los administradores puedan evaluar y remediar esta amenaza en sus entornos.
Productos y versiones vulnerables
La vulnerabilidad afecta a Cisco NX-OS Software, el sistema operativo de red utilizado en los switches y routers de la serie Nexus de Cisco. Según la información publicada por CVE.org, la lista de versiones afectadas es extensa e incluye múltiples ramas de mantenimiento. A continuación se detallan las versiones confirmadas como afectadas por el fabricante:
| Rama de versión | Versiones afectadas |
|---|---|
| 9.2 | 9.2(1), 9.2(2), 9.2(2t), 9.2(2v), 9.2(3), 9.2(3y), 9.2(4) |
| 9.3 | 9.3(1), 9.3(1z), 9.3(2), 9.3(3), 9.3(4), 9.3(5), 9.3(5w), 9.3(6), 9.3(7), 9.3(7a), 9.3(7k), 9.3(8), 9.3(9), 9.3(10), 9.3(11), 9.3(12), 9.3(13), 9.3(14), 9.3(15), 9.3(16), 9.3(17) |
| 10.3 | 10.3(1), 10.3(2), 10.3(3), 10.3(3o), 10.3(3p), 10.3(3q), 10.3(3r), 10.3(3w), 10.3(3x), 10.3(4), 10.3(4a), 10.3(4g), 10.3(4h), 10.3(5), 10.3(6), 10.3(7), 10.3(8), 10.3(9), 10.3(99w), 10.3(99x) |
| 10.4 | 10.4(1), 10.4(2), 10.4(3), 10.4(4), 10.4(4g), 10.4(5), 10.4(6), 10.4(7) |
| 10.5 | 10.5(1), 10.5(2), 10.5(3), 10.5(3e), 10.5(3o), 10.5(3p), 10.5(3s), 10.5(3t), 10.5(4), 10.5(5) |
| 10.6 | 10.6(1), 10.6(1s), 10.6(2), 10.6(2n), 10.6(2s), 10.6(3), 10.6(3s) |
Es importante señalar que la lista anterior refleja únicamente las versiones identificadas en el contexto de CVE.org. No se dispone de información pública sobre versiones corregidas o parches específicos en las fuentes consultadas. Se recomienda consultar el aviso oficial de Cisco para obtener la lista completa de plataformas afectadas y las actualizaciones disponibles.
Impacto y riesgo
La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS v3.1 de 9.8, presenta un vector de ataque CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto implica que un atacante remoto no autenticado puede explotar la falla sin requerir interacción del usuario, aprovechando la exposición de la red para comprometer por completo la confidencialidad, integridad y disponibilidad del sistema.
El origen del problema reside en una validación incorrecta de la entrada de tráfico IP cuando la funcionalidad VXLAN OAM (conocida como NGOAM) está habilitada en el dispositivo. Esta deficiencia se clasifica bajo la categoría CWE-121 (desbordamiento de búfer basado en pila), lo que permite a un atacante enviar paquetes especialmente diseñados a una interfaz IP del dispositivo afectado.
Las consecuencias de una explotación exitosa son severas:
- Ejecución de código arbitrario con privilegios root: el atacante podría obtener control total del dispositivo, comprometiendo la infraestructura de red subyacente.
- Denegación de servicio (DoS): el envío de paquetes maliciosos podría provocar el cierre de procesos críticos, causando un reinicio del dispositivo y una interrupción del servicio.
Dado que los dispositivos Cisco Nexus suelen operar en el núcleo de centros de datos y entornos empresariales, el impacto de un compromiso puede extenderse a toda la red, afectando la disponibilidad de los servicios y la integridad de los datos transmitidos.
Estado de explotación conocida
En el momento de la publicación de este análisis, no se ha confirmado explotación activa de esta vulnerabilidad en entornos reales. Las fuentes consultadas (NVD y CVE.org) no proporcionan información sobre ataques en curso ni indicios de que la falla haya sido utilizada en campañas maliciosas. No obstante, la criticidad de la vulnerabilidad y la facilidad de explotación (requiere solo acceso de red y no autenticación) hacen que sea un objetivo atractivo para atacantes. Se recomienda encarecidamente aplicar las mitigaciones y actualizaciones proporcionadas por Cisco a la mayor brevedad posible.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas para esta vulnerabilidad. Los campos correspondientes en el contexto de enriquecimiento aparecen vacíos, por lo que no se dispone de IOC publicados que puedan asociarse de manera fiable a esta CVE. No deben inventarse indicadores basados en suposiciones. Se recomienda monitorizar los avisos oficiales de Cisco y las actualizaciones de NVD para detectar posibles IOC en el futuro.
Cómo comprobar si estás afectado
Para determinar si tu infraestructura utiliza una versión vulnerable de Cisco NX-OS, debes verificar tanto la versión del software como el estado de la funcionalidad NGOAM (VXLAN OAM). La vulnerabilidad CVE-2026-76485 afecta a un amplio número de versiones de NX-OS, desde la rama 9.2 hasta la 10.6, por lo que la comprobación debe ser exhaustiva.
Pasos recomendados
- Identifica la versión exacta de NX-OS en cada dispositivo. Consulta la salida del comando
show versionen la CLI del switch o de la plataforma afectada. Anota la cadena completa de versión, incluyendo sufijos como letras o números (por ejemplo,9.3(7)o10.3(3w)). - Compara con la lista de versiones afectadas publicada por CVE.org. Según los datos disponibles, las siguientes versiones se consideran afectadas, entre otras:
- Rama 9.2: 9.2(1), 9.2(2), 9.2(2t), 9.2(2v), 9.2(3), 9.2(3y), 9.2(4)
- Rama 9.3: 9.3(1), 9.3(1z), 9.3(2) hasta 9.3(17)
- Rama 10.3: 10.3(1) hasta 10.3(9)
- Rama 10.4: 10.4(1) hasta 10.4(7)
- Rama 10.5: 10.5(1) hasta 10.5(5)
- Rama 10.6: 10.6(1), 10.6(1s), 10.6(2), 10.6(2n), 10.6(2s), 10.6(3), 10.6(3s)
- Verifica si la función NGOAM está habilitada. La vulnerabilidad solo es explotable cuando la funcionalidad VXLAN OAM está activa en el dispositivo. Revisa la configuración activa para confirmar si NGOAM está en uso. Si no está habilitada, el riesgo de explotación se reduce significativamente, aunque se recomienda igualmente actualizar.
- Consulta el aviso oficial de Cisco para obtener la lista completa y actualizada de versiones afectadas y corregidas. El aviso del fabricante es la fuente de referencia definitiva.
Nota importante: La lista anterior no es exhaustiva. Consulta siempre el aviso oficial de Cisco para conocer todas las versiones afectadas y las versiones corregidas disponibles.
Mitigación y actualización
Dada la criticidad de esta vulnerabilidad (CVSS 9.8) y la posibilidad de ejecución remota de código con privilegios de root, se recomienda aplicar la actualización proporcionada por Cisco lo antes posible. El fabricante ha publicado un aviso de seguridad oficial con los detalles y las versiones corregidas.
Acciones recomendadas
- Revisa el aviso oficial de Cisco en el enlace incluido en la sección de fuentes. Allí encontrarás las versiones de NX-OS que corrigen esta vulnerabilidad y las instrucciones específicas de actualización.
- Planifica la actualización de todos los dispositivos afectados. Prioriza aquellos que estén expuestos a redes no confiables o que tengan la función NGOAM habilitada.
- Si no puedes actualizar de inmediato, evalúa si es posible deshabilitar la funcionalidad NGOAM en los dispositivos afectados como medida temporal. Consulta la documentación de Cisco para conocer el impacto de esta acción en tu entorno.
- Monitorea los sistemas en busca de actividad anómala. Aunque no se han publicado IOC estructurados en las fuentes consultadas, presta atención a reinicios inesperados, caídas de procesos o tráfico de red inusual hacia las interfaces IP de los dispositivos.
Advertencia: No se han publicado versiones corregidas específicas en los datos consultados. La información sobre parches debe obtenerse exclusivamente del aviso oficial de Cisco.
Checklist para administradores
- ☐ He identificado todos los dispositivos Cisco NX-OS en mi infraestructura.
- ☐ He verificado la versión exacta de NX-OS en cada dispositivo mediante
show version. - ☐ He comparado las versiones con la lista de versiones afectadas publicada por CVE.org y el aviso de Cisco.
- ☐ He comprobado si la funcionalidad NGOAM (VXLAN OAM) está habilitada en los dispositivos afectados.
- ☐ He revisado el aviso oficial de Cisco para conocer las versiones corregidas disponibles.
- ☐ He planificado la actualización de los dispositivos afectados, priorizando los expuestos a redes no confiables.
- ☐ He evaluado la posibilidad de deshabilitar NGOAM como medida temporal si la actualización no es inmediata.
- ☐ He informado al equipo de seguridad y a las partes interesadas sobre el riesgo y el plan de acción.
- ☐ He establecido un monitoreo adicional para detectar reinicios inesperados o tráfico anómalo.
Preguntas frecuentes
¿Qué es NGOAM y por qué es relevante?
NGOAM es la funcionalidad de Operación, Administración y Mantenimiento (OAM) para VXLAN en Cisco NX-OS. Permite monitorear y diagnosticar túneles VXLAN. La vulnerabilidad reside en una validación incorrecta de tráfico IP cuando esta función está habilitada, lo que permite a un atacante remoto no autenticado ejecutar código arbitrario o provocar una denegación de servicio.
¿Qué impacto tiene esta vulnerabilidad?
El impacto es crítico. Un atacante remoto no autenticado podría ejecutar código arbitrario con privilegios de root en el dispositivo, comprometiéndolo por completo. Además, podría provocar la caída de procesos y el reinicio del dispositivo, causando una denegación de servicio.
¿Cómo puedo saber si mi dispositivo es vulnerable?
Debes verificar la versión de NX-OS instalada y compararla con la lista de versiones afectadas publicada en el aviso de Cisco. Además, confirma si la funcionalidad NGOAM está habilitada, ya que es un requisito para la explotación.
¿Existe alguna mitigación si no puedo actualizar de inmediato?
La mitigación principal es deshabilitar la funcionalidad NGOAM si no es imprescindible en tu entorno. Sin embargo, esta medida debe evaluarse cuidadosamente, ya que podría afectar a la operativa de la red. La actualización del software es la solución definitiva.
¿Se han publicado exploits o IOC para esta vulnerabilidad?
No. Según las fuentes consultadas, no se han publicado IOC estructurados ni exploits públicos. No obstante, dada la criticidad de la vulnerabilidad, se recomienda asumir que podría ser explotada y actuar con la máxima diligencia.
¿Dónde puedo encontrar más información oficial?
En el aviso de seguridad de Cisco y en la entrada de NVD para CVE-2026-76485. Los enlaces se encuentran en la sección de fuentes oficiales de este artículo.