Alerta crítica: Cisco ha publicado un aviso de seguridad para una vulnerabilidad de ejecución remota de código y denegación de servicio en el software NX-OS, identificada como CVE-2026-76486. Un atacante remoto no autenticado podría explotar esta falla para ejecutar código arbitrario con privilegios de root o provocar la recarga del dispositivo. Se recomienda revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada de forma inmediata.
Resumen ejecutivo
| CVE | CVE-2026-76486 |
|---|---|
| Fabricante | Cisco |
| Producto | Cisco NX-OS Software |
| Fecha de publicación | 2026-10-07 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad | 250 (según puntuación RyzerBot) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-76486 es una vulnerabilidad crítica que afecta a la funcionalidad VXLAN Operation, Administration, and Maintenance (OAM) del software Cisco NX-OS, conocida internamente como NGOAM. Esta característica se utiliza para la supervisión y el mantenimiento de túneles VXLAN, un protocolo de encapsulación ampliamente desplegado en entornos de centros de datos y redes de área extensa modernas.
El fallo se origina por una validación incorrecta de la entrada de tráfico IP cuando la funcionalidad NGOAM está habilitada en el dispositivo. Esta deficiencia en el manejo de paquetes especialmente diseñados permite que un atacante remoto no autenticado envíe tramas maliciosas a una interfaz IP del equipo afectado y desencadene un desbordamiento de búfer basado en pila (CWE-121).
La explotación exitosa de esta vulnerabilidad podría permitir al atacante:
- Ejecutar código arbitrario con privilegios de root en el dispositivo, lo que comprometería por completo la integridad y confidencialidad del sistema.
- Provocar la caída de procesos críticos, lo que resultaría en la recarga del dispositivo y, por tanto, en una condición de denegación de servicio (DoS).
La gravedad del problema se ve agravada por el hecho de que el vector de ataque es remoto y no requiere autenticación, ni interacción del usuario. Un atacante con acceso a la red podría explotar la vulnerabilidad sin necesidad de credenciales válidas, lo que eleva el riesgo de explotación masiva en entornos expuestos.
La vulnerabilidad ha sido clasificada con una puntuación CVSS de 9.8, lo que la sitúa en el rango de criticidad máxima. El vector completo CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H refleja que el ataque es explotable remotamente, con baja complejidad, sin privilegios previos y con impacto total en la confidencialidad, integridad y disponibilidad del sistema.
Cisco ha publicado un aviso de seguridad oficial que detalla las versiones afectadas y las recomendaciones de actualización. Dado que la vulnerabilidad fue publicada recientemente y aún no se dispone de información sobre explotación activa en la naturaleza, se recomienda encarecidamente a los administradores de sistemas que ejecutan NX-OS que revisen el aviso del fabricante y planifiquen la aplicación de parches como una acción prioritaria.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-76486 afecta a Cisco NX-OS Software, específicamente cuando la funcionalidad VXLAN OAM (NGOAM) está habilitada. Según la información publicada por CVE.org, las siguientes versiones del producto se consideran afectadas:
| Rama de versiones | Versiones afectadas |
|---|---|
| 9.3 | 9.3(3), 9.3(4), 9.3(5), 9.3(5w), 9.3(6), 9.3(7), 9.3(7k), 9.3(7a), 9.3(8), 9.3(9), 9.3(10), 9.3(11), 9.3(12), 9.3(13), 9.3(14), 9.3(15), 9.3(16), 9.3(17) |
| 10.3 | 10.3(1), 10.3(2), 10.3(3), 10.3(99w), 10.3(3w), 10.3(99x), 10.3(3o), 10.3(4), 10.3(3p), 10.3(4a), 10.3(3q), 10.3(5), 10.3(3x), 10.3(4g), 10.3(3r), 10.3(6), 10.3(4h), 10.3(7), 10.3(8), 10.3(9) |
| 10.4 | 10.4(1), 10.4(2), 10.4(3), 10.4(4), 10.4(4g), 10.4(5), 10.4(6), 10.4(7) |
| 10.5 | 10.5(1), 10.5(2), 10.5(3), 10.5(3t), 10.5(3s), 10.5(3e), 10.5(3o), 10.5(3p), 10.5(4), 10.5(5) |
| 10.6 | 10.6(1), 10.6(1s), 10.6(2), 10.6(2s), 10.6(2n), 10.6(3), 10.6(3s) |
La lista anterior se basa exclusivamente en los datos publicados por CVE.org. No se dispone de información adicional sobre plataformas o modelos de equipos específicos en las fuentes consultadas.
Impacto y riesgo
Esta vulnerabilidad ha sido clasificada con una puntuación CVSS v3.1 de 9.8 (CRITICAL), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto implica que un atacante remoto no autenticado puede explotar la vulnerabilidad sin necesidad de credenciales ni interacción del usuario, y el impacto se extiende a la confidencialidad, integridad y disponibilidad del sistema.
La causa raíz se debe a una validación incorrecta de la entrada de tráfico IP cuando la funcionalidad NGOAM está habilitada. El problema se clasifica como desbordamiento de búfer basado en pila (CWE-121). Un atacante podría explotar esta debilidad enviando paquetes especialmente diseñados a una interfaz IP del dispositivo afectado.
Las consecuencias de una explotación exitosa son severas:
- Ejecución de código arbitrario con privilegios de root: el atacante podría obtener control total del dispositivo, comprometiendo la infraestructura de red subyacente.
- Denegación de servicio (DoS): el envío de paquetes maliciosos podría provocar fallos en los procesos, causando el reinicio del dispositivo y una condición de denegación de servicio.
Dado que los dispositivos Cisco NX-OS suelen desplegarse en el núcleo de centros de datos y entornos de virtualización de red, el impacto potencial en la continuidad del negocio es alto. Se recomienda priorizar la revisión de los activos afectados.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información que confirme explotación activa de esta vulnerabilidad en entornos reales. No se ha encontrado referencia a campañas de ataque, malware asociado o pruebas de concepto públicas en los datos analizados. La ausencia de esta información no debe interpretarse como una garantía de seguridad, sino como un dato no publicado por las fuentes oficiales.
Indicadores de compromiso (IOC)
El campo de indicadores de compromiso estructurados (enrichment.ioc) se encuentra vacío en las fuentes consultadas. No se han extraído IOC literales (direcciones IP, hashes, dominios, etc.) que puedan asociarse de manera fiable a esta vulnerabilidad. No deben inventarse indicadores que no estén respaldados por la evidencia disponible. Se recomienda monitorizar los avisos oficiales de Cisco para futuras actualizaciones sobre este apartado.
Cómo comprobar si estás afectado
Para determinar si tu infraestructura está expuesta a CVE-2026-76486, debes verificar dos aspectos fundamentales: la versión de Cisco NX-OS Software que ejecutan tus dispositivos y si la funcionalidad NGOAM (VXLAN OAM) está habilitada en las interfaces IP.
El aviso oficial de Cisco, publicado en su portal de seguridad, es la única fuente autorizada que detalla el alcance exacto de las versiones afectadas y las condiciones necesarias para la explotación. La lista de versiones vulnerables publicada por CVE.org incluye, entre otras, las ramas 9.3(x), 10.3(x), 10.4(x), 10.5(x) y 10.6(x). No obstante, la lista completa es extensa y debe consultarse directamente en el boletín del fabricante.
Para una comprobación fiable, sigue estos pasos:
- Identifica la versión exacta de NX-OS en cada dispositivo. Esta información es crítica, ya que la vulnerabilidad afecta a múltiples versiones específicas dentro de cada rama.
- Verifica la configuración de NGOAM. La vulnerabilidad solo es explotable si la función VXLAN OAM está habilitada. Revisa la configuración de tus interfaces IP para confirmar si el tráfico de mantenimiento de VXLAN está activo.
- Consulta el aviso oficial de Cisco en el enlace proporcionado en la sección de fuentes. El boletín incluye la matriz completa de versiones afectadas y corregidas, así como las condiciones de explotabilidad.
No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. Por tanto, la detección de una posible explotación debe basarse en la monitorización de comportamiento anómalo en los dispositivos, como reinicios inesperados o caídas de procesos.
Mitigación y actualización
La acción principal recomendada es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Dado que la vulnerabilidad permite ejecución de código arbitrario con privilegios de root y puede provocar una denegación de servicio, el riesgo es máximo y la prioridad de parcheo debe ser inmediata.
Importante: las fuentes consultadas no publican una lista de versiones corregidas ni parches específicos. La única referencia oficial es el aviso de seguridad de Cisco. Debes consultarlo para obtener las versiones corregidas y las instrucciones de actualización.
Mientras se aplica el parche, considera las siguientes medidas temporales:
- Deshabilitar la función NGOAM en las interfaces donde no sea estrictamente necesaria. Esta es la mitigación más efectiva, ya que elimina la superficie de ataque.
- Restringir el acceso a las interfaces IP afectadas mediante listas de control de acceso (ACL), limitando el tráfico entrante solo a fuentes confiables.
- Monitorizar los dispositivos en busca de reinicios inesperados, caídas de procesos o picos de tráfico anómalos que puedan indicar un intento de explotación.
La puntuación CVSS de 9.8 (Crítica) refleja que la vulnerabilidad es explotable de forma remota sin autenticación y con baja complejidad, lo que la convierte en un objetivo atractivo para atacantes. No demores la aplicación de las medidas correctivas.
Checklist para administradores
- ☐ He identificado todos los dispositivos Cisco NX-OS en mi red y sus versiones de software.
- ☐ He consultado el aviso oficial de Cisco para confirmar si mis versiones están afectadas.
- ☐ He verificado si la función NGOAM (VXLAN OAM) está habilitada en alguna interfaz IP.
- ☐ He deshabilitado NGOAM en las interfaces donde no es imprescindible.
- ☐ He aplicado las ACL necesarias para restringir el acceso a las interfaces expuestas.
- ☐ He planificado la ventana de mantenimiento para aplicar el parche oficial cuando esté disponible.
- ☐ He configurado alertas de monitorización para detectar reinicios o caídas de procesos en los dispositivos afectados.
- ☐ He documentado el estado de cada dispositivo y las acciones tomadas para su seguimiento.
Preguntas frecuentes
¿Qué es la función NGOAM y por qué es vulnerable?
NGOAM es la implementación de VXLAN OAM (Operation, Administration, and Maintenance) en Cisco NX-OS. La vulnerabilidad se debe a una validación incorrecta de la entrada de tráfico IP cuando esta función está habilitada, lo que permite a un atacante remoto enviar paquetes especialmente diseñados para desbordar un búfer basado en pila (CWE-121) y ejecutar código arbitrario.
¿Qué impacto tiene la explotación de esta vulnerabilidad?
Un atacante que explote con éxito esta vulnerabilidad puede ejecutar código arbitrario con privilegios de root en el dispositivo afectado. Además, puede provocar la caída de procesos, lo que resulta en un reinicio del sistema y una condición de denegación de servicio (DoS).
¿Necesito autenticación para explotar esta vulnerabilidad?
No. El vector CVSS indica que la explotación es posible de forma remota sin autenticación (AV:N/AC:L/PR:N/UI:N). Esto significa que cualquier atacante con acceso a la red puede intentar explotarla.
¿Cómo puedo saber si mi dispositivo ha sido comprometido?
Las fuentes consultadas no publican indicadores de compromiso (IOC) específicos. Debes monitorizar tus dispositivos en busca de reinicios inesperados, caídas de procesos o comportamientos anómalos. Si sospechas de un compromiso, contacta con el soporte de Cisco para obtener asistencia.
¿Existe algún parche disponible?
Las fuentes consultadas no publican versiones corregidas específicas. Debes consultar el aviso oficial de Cisco en el enlace proporcionado para obtener la información más actualizada sobre parches y versiones corregidas.
¿Qué debo hacer si no puedo aplicar el parche de inmediato?
Si no puedes aplicar el parche de inmediato, deshabilita la función NGOAM en las interfaces donde no sea necesaria y restringe el acceso a las interfaces expuestas mediante ACL. Estas medidas temporales reducen significativamente la superficie de ataque.
Fuentes oficiales
Para obtener información detallada y actualizada, consulta las siguientes fuentes oficiales: