CVE-2026-76501: Vulnerabilidad crítica en Cisco NX-OS

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-76501 reside en la función NGOAM del software Cisco NX-OS, específicamente en el manejo de la funcionalidad de Segment Routing over IPv6 (SRv6) para operaciones de administración y mantenimiento. El fallo se debe a una validación incorrecta de la entrada de tráfico IP cuando las funciones NGOAM y SRv6 están habilitadas en el dispositivo.

Esta deficiencia en la validación de entrada permite que un atacante remoto no autenticado envíe paquetes especialmente diseñados a una interfaz IP del dispositivo afectado. Al procesar estos paquetes malformados, el software podría desbordar un búfer basado en pila, lo que se clasifica como CWE-121: Stack-based Buffer Overflow. Este tipo de vulnerabilidad es especialmente peligrosa porque puede permitir la ejecución de código arbitrario con los privilegios del proceso vulnerable, que en este caso son los máximos (root).

La explotación exitosa de esta vulnerabilidad podría tener un impacto total en la confidencialidad, integridad y disponibilidad del dispositivo, tal y como refleja el vector CVSS AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto significa que el ataque se puede realizar de forma remota, sin necesidad de autenticación, y sin requerir interacción del usuario, lo que eleva su nivel de riesgo a crítico.

Adicionalmente, el fallo también puede provocar fallos en los procesos del sistema, resultando en un reinicio del dispositivo y, por tanto, en una condición de denegación de servicio (DoS). Esta doble naturaleza —ejecución de código y DoS— convierte a la vulnerabilidad en una amenaza particularmente grave para entornos de red empresariales y de centros de datos que dependen de la disponibilidad y seguridad de los switches Cisco que ejecutan NX-OS.

Es importante destacar que la vulnerabilidad solo es explotable si las funciones NGOAM y SRv6 están habilitadas en el dispositivo. Los administradores deben verificar la configuración de sus equipos para determinar si están expuestos a esta amenaza.

Productos y versiones vulnerables

La vulnerabilidad CVE-2026-76501 afecta al software Cisco NX-OS en las versiones en las que las funcionalidades Segment Routing over IPv6 (SRv6) y NGOAM están habilitadas. Según la información publicada por CVE.org, las siguientes versiones se consideran afectadas:

Las fuentes consultadas no publican una lista de plataformas o modelos de hardware específicos afectados. Se recomienda revisar el aviso oficial de Cisco para confirmar la exposición de los equipos en función de la versión de NX-OS y de la configuración de red.

Impacto y riesgo

La vulnerabilidad tiene una puntuación CVSS v3.1 de 9.8 (crítica) con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto implica que un atacante remoto no autenticado puede explotar la falla sin necesidad de credenciales ni interacción del usuario, siempre que el tráfico IP llegue a una interfaz del dispositivo afectado con las características NGOAM y SRv6 habilitadas.

El impacto técnico es doble:

• Ejecución arbitraria de código con privilegios root: el atacante podría comprometer completamente el dispositivo, obteniendo control total sobre el sistema operativo y permitiendo la instalación de persistencia, modificación de configuración o movimiento lateral en la infraestructura.
• Denegación de servicio (DoS): el envío de paquetes especialmente diseñados podría provocar el cierre de procesos críticos, lo que resultaría en un reinicio del dispositivo y la consiguiente interrupción del servicio de red.

La causa raíz se atribuye a una validación incorrecta de entrada en el tráfico IP cuando las funciones NGOAM y SRv6 están activas, clasificada como CWE-121 (desbordamiento de búfer basado en pila). Dado que el vector de ataque es completamente remoto y no requiere autenticación, el riesgo operativo es máximo en entornos donde estas funciones estén desplegadas.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información que confirme explotación activa en entornos reales para esta vulnerabilidad. No se han encontrado referencias a campañas, exploits públicos o pruebas de concepto en el contexto analizado. La ausencia de esta información no debe interpretarse como una garantía de seguridad, sino como un dato no publicado por las fuentes oficiales en el momento de la recopilación.

Indicadores de compromiso (IOC)

El campo de indicadores de compromiso (enrichment.ioc) aparece vacío en las fuentes consultadas. No se han extraído IOC estructurados (direcciones IP, hashes, dominios, etc.) de NVD, CVE.org ni del aviso de Cisco referenciado. Por tanto, no se dispone de indicadores publicados para esta vulnerabilidad y no deben inventarse.

Se recomienda monitorizar el aviso oficial de Cisco (cisco-sa-ngoam-rce-LWKQ4BU) para futuras actualizaciones que puedan incluir IOC o firmas de detección.

Cómo comprobar si estás afectado

Determinar si tu infraestructura está expuesta a CVE-2026-76501 requiere verificar tanto la versión de Cisco NX-OS como la configuración de las funciones afectadas. Esta vulnerabilidad solo es explotable cuando las características NGOAM y Segment Routing over IPv6 (SRv6) están habilitadas simultáneamente en el dispositivo.

1. Verifica la versión de NX-OS

Consulta la versión exacta del software instalado en tus switches Cisco MDS o de la serie Nexus. Según los datos publicados por CVE.org, las siguientes versiones están confirmadas como afectadas:

• Ramas 9.3: desde 9.3(3) hasta 9.3(17), incluyendo variantes como 9.3(5w), 9.3(7k), 9.3(7a) y 9.3(99w).
• Ramas 10.3: desde 10.3(1) hasta 10.3(9), incluyendo 10.3(99w), 10.3(99x), 10.3(3o), 10.3(3p), 10.3(3q), 10.3(3r), 10.3(3x), 10.3(4a), 10.3(4g) y 10.3(4h).
• Ramas 10.4: desde 10.4(1) hasta 10.4(7), incluyendo 10.4(4g).
• Ramas 10.5: desde 10.5(1) hasta 10.5(5), incluyendo 10.5(3t), 10.5(3s), 10.5(3e), 10.5(3o) y 10.5(3p).
• Ramas 10.6: desde 10.6(1) hasta 10.6(3s), incluyendo 10.6(1s), 10.6(2s) y 10.6(2n).

Si tu versión no aparece en esta lista, consulta el aviso oficial de Cisco para confirmar si está afectada o si existe alguna versión corregida publicada.

2. Comprueba la configuración de NGOAM y SRv6

La vulnerabilidad solo es explotable si ambas funciones están habilitadas. Revisa la configuración activa del dispositivo para confirmar si NGOAM y SRv6 están activados. Si alguna de las dos está deshabilitada, el dispositivo no está expuesto a esta vulnerabilidad concreta.

3. Evalúa la exposición de red

El vector de ataque es remoto y no requiere autenticación (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Esto significa que cualquier interfaz IP del dispositivo que sea accesible desde la red podría ser utilizada para enviar paquetes maliciosos. Revisa qué interfaces están expuestas a redes no confiables y si el tráfico SRv6 está permitido en los planos de control y datos.

Mitigación y actualización

La puntuación CVSS de 9.8 (CRITICAL) y la capacidad de ejecutar código arbitrario con privilegios root hacen que esta vulnerabilidad deba tratarse con máxima prioridad. Dado que el fabricante ha publicado un aviso oficial, la acción recomendada es revisar dicho aviso y aplicar la actualización o mitigación publicada.

Acciones inmediatas

• Consulta el aviso oficial de Cisco disponible en cisco-sa-ngoam-rce-LWKQ4BU para obtener información detallada sobre versiones corregidas, workarounds y recomendaciones específicas del fabricante.
• Si no es posible actualizar de inmediato, evalúa deshabilitar las funciones NGOAM y SRv6 en los dispositivos afectados, siempre que ello no comprometa la operativa de la red.
• Restringe el acceso a las interfaces IP de los dispositivos afectados mediante listas de control de acceso (ACL) para limitar la exposición a redes no confiables.

Nota importante: No se han publicado versiones corregidas específicas en las fuentes consultadas. La información sobre parches y versiones remediadas debe obtenerse exclusivamente del aviso oficial de Cisco.

Checklist para administradores

• ☐ Identificar todos los dispositivos Cisco NX-OS en la infraestructura que ejecuten versiones afectadas (9.3, 10.3, 10.4, 10.5 o 10.6).
• ☐ Verificar si las funciones NGOAM y SRv6 están habilitadas en cada dispositivo.
• ☐ Revisar el aviso oficial de Cisco en cisco-sa-ngoam-rce-LWKQ4BU para conocer las versiones corregidas y las mitigaciones recomendadas.
• ☐ Planificar la actualización de los dispositivos afectados a una versión no vulnerable tan pronto como esté disponible.
• ☐ Si no es posible actualizar, evaluar la desactivación temporal de NGOAM y SRv6.
• ☐ Revisar las ACL y la segmentación de red para limitar el acceso a las interfaces IP de los dispositivos afectados.
• ☐ Monitorizar los logs y el tráfico de red en busca de actividad anómala relacionada con SRv6 o NGOAM.
• ☐ Documentar todas las acciones tomadas y mantener un registro para auditorías de seguridad.

Preguntas frecuentes

¿Qué es NGOAM y por qué es relevante?

NGOAM es la implementación de las funciones de Operación, Administración y Mantenimiento (OAM) para Segment Routing over IPv6 en Cisco NX-OS. Esta funcionalidad permite la supervisión y gestión de túneles SRv6, pero la validación incorrecta de tráfico IP cuando está habilitada junto con SRv6 permite la explotación remota.

¿La vulnerabilidad requiere autenticación?

No. El vector CVSS indica que la explotación no requiere autenticación (PR:N) ni interacción del usuario (UI:N). Un atacante remoto puede enviar paquetes especialmente diseñados a una interfaz IP del dispositivo afectado sin necesidad de credenciales.

¿Qué impacto tiene una explotación exitosa?

Un atacante podría ejecutar código arbitrario con privilegios root, lo que comprometería completamente el dispositivo. También podría provocar caídas de procesos que resulten en un reinicio del sistema, causando una denegación de servicio (DoS).

¿Cómo sé si mi versión de NX-OS está afectada?

Revisa la lista de versiones afectadas publicada en este artículo o consulta directamente el aviso oficial de Cisco. Si tu versión no aparece en la lista, contacta con el soporte de Cisco para confirmar el estado de tu dispositivo.

¿Puedo mitigar la vulnerabilidad sin actualizar?

El fabricante puede haber publicado workarounds en su aviso oficial. Las medidas generales incluyen deshabilitar NGOAM y SRv6 si no son imprescindibles, y restringir el acceso a las interfaces IP mediante ACL. Sin embargo, la actualización a una versión corregida es la única solución definitiva.

¿Esta vulnerabilidad está siendo explotada activamente?

Las fuentes consultadas no indican explotación activa ni uso en campañas de ransomware. No obstante, la criticidad y la facilidad de explotación hacen recomendable aplicar las mitigaciones de forma inmediata.