CVE-2026-76465: fallo crítico en Cisco NX-OS

Qué es la vulnerabilidad

CVE-2026-76465 es una vulnerabilidad crítica en la funcionalidad MPLS Operation, Administration, and Maintenance (OAM) del software Cisco NX-OS, específicamente en los switches de las series Nexus 3000 y Nexus 9000. Esta funcionalidad se utiliza para la operación, administración y mantenimiento de redes MPLS, permitiendo a los administradores verificar la conectividad y el estado de los LSP (Label Switched Paths) mediante mensajes de eco MPLS (comúnmente conocidos como MPLS echo-request).

El fallo se debe a una validación incorrecta al procesar paquetes MPLS echo-request en el dispositivo afectado. Según la clasificación CWE, se trata de un problema de tipo CWE-590: Liberación de memoria que no está en el heap (Free of Memory not on the Heap). Esto implica que el software intenta liberar memoria que no fue asignada dinámicamente en el heap, lo que puede provocar comportamientos impredecibles, corrupción de memoria o la ejecución de código arbitrario.

La vulnerabilidad es explotable de forma remota y sin autenticación. Un atacante únicamente necesita enviar un paquete MPLS echo-request especialmente diseñado a una dirección IP del dispositivo afectado. No se requiere ninguna credencial ni acceso previo a la red, lo que amplifica significativamente el riesgo, especialmente en entornos donde estos switches están expuestos a redes no confiables.

La gravedad del fallo se refleja en su vector CVSS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica:

• AV:N — Red: explotable remotamente.
• AC:L — Complejidad de ataque baja: no se requieren condiciones especiales.
• PR:N — Sin privilegios necesarios.
• UI:N — No requiere interacción del usuario.
• C:H/I:H/A:H — Impacto total en confidencialidad, integridad y disponibilidad.

Una explotación exitosa podría permitir al atacante ejecutar código arbitrario con privilegios root en el dispositivo, comprometiendo por completo su integridad y confidencialidad. Además, el fallo también puede provocar caídas de procesos, lo que resultaría en un reinicio del dispositivo y, por tanto, en una condición de denegación de servicio (DoS).

Dado que estos switches suelen desempeñar funciones críticas en la infraestructura de red (núcleo, distribución o acceso), el impacto potencial es alto. La combinación de ejecución remota de código con privilegios máximos y la posibilidad de DoS convierte a esta vulnerabilidad en un objetivo prioritario para los equipos de seguridad.

Es importante señalar que la vulnerabilidad fue publicada recientemente y ya ha sido seleccionada por RyzerBot por su criticidad, relevancia y puntuación. Se recomienda encarecidamente a los administradores de sistemas que ejecuten versiones afectadas de Cisco NX-OS que consulten el aviso oficial de Cisco y apliquen las actualizaciones o mitigaciones disponibles lo antes posible.

Productos y versiones vulnerables

La vulnerabilidad afecta al software Cisco NX-OS en las series de switches Nexus 3000 y Nexus 9000. Según la información publicada por CVE.org, la lista de versiones afectadas es extensa e incluye ramas de mantenimiento de las series 9.3, 10.3, 10.4, 10.5 y 10.6. A continuación se muestran las versiones declaradas como afectadas por el fabricante:

La lista anterior procede directamente de los datos estructurados de CVE.org. No se han publicado en el contexto versiones concretas para otras series de productos Cisco NX-OS ni información adicional sobre plataformas específicas dentro de las series Nexus 3000 o 9000.

Impacto y riesgo

La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS v3.1 de 9.8, permite a un atacante remoto no autenticado ejecutar código arbitrario con privilegios root o provocar una condición de denegación de servicio (DoS) en el dispositivo afectado.

El vector CVSS asociado es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica que la explotación no requiere autenticación ni interacción del usuario, y que el impacto en confidencialidad, integridad y disponibilidad es alto. La causa raíz se atribuye a una validación incorrecta durante el procesamiento de paquetes MPLS echo-request por parte de la funcionalidad MPLS OAM.

El riesgo práctico es elevado en entornos de red que utilicen MPLS OAM en switches Nexus de las series 3000 y 9000. Un atacante que consiga explotar esta falla podría tomar el control total del dispositivo, alterar la configuración de red, interceptar tráfico o provocar reinicios recurrentes que degraden la disponibilidad del servicio. Dado que el vector de ataque es remoto y no requiere credenciales, la exposición a Internet o a redes de confianza con acceso al plano de gestión aumenta significativamente la probabilidad de compromiso.

No se ha publicado información adicional sobre el impacto específico en la confidencialidad de los datos que atraviesan el dispositivo, más allá de la ejecución de código con privilegios elevados.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información que confirme explotación activa de esta vulnerabilidad en entornos reales. No se mencionan técnicas de explotación específicas, ni la existencia de código de prueba de concepto público o privado, ni campañas maliciosas que hagan uso de CVE-2026-76465.

La ausencia de confirmación de explotación no debe interpretarse como una reducción del riesgo. La criticidad del fallo, la facilidad de explotación (red, baja complejidad, sin autenticación) y el impacto total hacen que sea previsible la aparición de exploits en el corto plazo. Se recomienda priorizar la aplicación de las actualizaciones publicadas por Cisco sin esperar a que se confirme explotación pública.

Indicadores de compromiso (IOC)

El campo de indicadores de compromiso estructurados (enrichment.ioc) aparece vacío en las fuentes consultadas. No se han extraído direcciones IP, hashes de archivos, dominios, rutas ni otros indicadores técnicos asociados a esta vulnerabilidad.

Dado que no se dispone de IOC publicados, no deben emplearse listas de indicadores de fuentes no verificadas. La detección de actividad maliciosa relacionada con CVE-2026-76465 deberá basarse en la monitorización de tráfico MPLS OAM anómalo, la revisión de logs del plano de control y la verificación de integridad de los dispositivos afectados.

Cómo comprobar si estás afectado

Para determinar si tu infraestructura es vulnerable a CVE-2026-76465, debes verificar dos aspectos fundamentales: el modelo de equipo y la versión de software en ejecución. Según la información publicada por CVE.org, el fabricante afectado es Cisco y el producto es Cisco NX-OS Software para las series Nexus 3000 y Nexus 9000.

La lista de versiones afectadas publicada por las fuentes consultadas incluye, entre otras, las siguientes ramas de software:

• Serie 9.3: versiones desde 9.3(1) hasta 9.3(17), incluyendo variantes como 9.3(1z), 9.3(5w), 9.3(7k), 9.3(7a) y 9.3(14).
• Serie 10.3: versiones 10.3(1) hasta 10.3(9), incluyendo builds intermedios como 10.3(3w), 10.3(3o), 10.3(3p), 10.3(3q), 10.3(3r), 10.3(3x), 10.3(4a), 10.3(4g), 10.3(4h) y 10.3(99w).
• Serie 10.4: versiones 10.4(1) hasta 10.4(7), incluyendo 10.4(2), 10.4(3), 10.4(4), 10.4(4g), 10.4(5) y 10.4(6).
• Serie 10.5: versiones 10.5(1) hasta 10.5(5), incluyendo 10.5(3t), 10.5(3s), 10.5(3e), 10.5(3o) y 10.5(3p).
• Serie 10.6: versiones 10.6(1), 10.6(1s), 10.6(2), 10.6(2s), 10.6(2n), 10.6(3) y 10.6(3s).

La consulta de la versión exacta de NX-OS instalada en tus equipos debe realizarse a través de los mecanismos estándar de administración de Cisco. No se publican comandos específicos en las fuentes consultadas, por lo que se recomienda consultar la documentación oficial del fabricante para obtener el procedimiento de verificación de versión en tu plataforma.

Si tu versión aparece en la lista anterior y tienes desplegada la funcionalidad MPLS OAM, el equipo debe considerarse potencialmente vulnerable. La exposición real depende de que el tráfico MPLS echo-request pueda alcanzar una dirección IP del dispositivo afectado.

Mitigación y actualización

La acción recomendada según los datos del aviso es clara: revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Sin embargo, las fuentes consultadas no publican una versión corregida específica ni un parche concreto para esta vulnerabilidad.

Hasta que se disponga de una actualización oficial confirmada, se deben considerar las siguientes medidas generales de reducción de riesgo:

• Restringir el acceso a la funcionalidad MPLS OAM: limita el alcance de los paquetes MPLS echo-request mediante listas de control de acceso (ACL) en los puntos de entrada de la red.
• Segmentación de red: asegura que los equipos Nexus afectados no sean alcanzables desde segmentos no confiables o desde Internet.
• Monitorización: implementa alertas para detectar picos anómalos de tráfico MPLS OAM o reinicios inesperados de procesos en los dispositivos afectados.
• Plan de contingencia: prepara ventanas de mantenimiento para aplicar el parche oficial en cuanto esté disponible.

Nota importante: No se debe asumir que una versión no listada es segura. Las fuentes consultadas no publican información sobre versiones corregidas ni sobre la efectividad de mitigaciones alternativas. La única fuente de verdad es el aviso oficial de Cisco.

Checklist para administradores

• ☐ Identificar todos los switches Cisco Nexus 3000 y 9000 de la infraestructura.
• ☐ Verificar la versión exacta de NX-OS en cada dispositivo afectado.
• ☐ Confirmar si la funcionalidad MPLS OAM está habilitada en los equipos.
• ☐ Comparar las versiones instaladas con la lista de versiones afectadas publicada.
• ☐ Revisar el aviso oficial de Cisco Security Advisory enlace cisco-sa-moam-rce-uBTzYV7.
• ☐ Evaluar la exposición real al tráfico MPLS echo-request desde segmentos no confiables.
• ☐ Aplicar ACL de restricción si la funcionalidad MPLS OAM es imprescindible.
• ☐ Establecer monitorización específica para detección de reinicios o tráfico anómalo.
• ☐ Planificar la ventana de actualización para aplicar el parche oficial cuando esté disponible.
• ☐ Documentar las decisiones y acciones tomadas para auditoría interna.

Preguntas frecuentes

¿Qué versión de NX-OS corrige esta vulnerabilidad?

No publicado por las fuentes consultadas. El aviso oficial de Cisco debe consultarse para conocer la versión corregida cuando esté disponible.

¿La vulnerabilidad requiere autenticación?

No. Según el vector CVSS publicado, la vulnerabilidad es explotable de forma remota sin autenticación previa (PR:N), lo que incrementa significativamente su criticidad.

¿Qué impacto tiene la explotación exitosa?

Un atacante podría ejecutar código arbitrario con privilegios root en el dispositivo afectado, así como provocar la caída de procesos que derive en un reinicio del equipo y una condición de denegación de servicio (DoS).

¿Qué puntuación CVSS tiene esta vulnerabilidad?

La puntuación publicada es de 9.8 sobre 10, con severidad CRITICAL. El vector completo es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

¿Qué CWE está asociada a esta vulnerabilidad?

La clasificación publicada por NVD es CWE-590, relacionada con la liberación de memoria que no está en el heap. La descripción de CVE.org la clasifica como «Free of Memory not on the Heap».

¿Existen IOC publicados para esta vulnerabilidad?

No. Las fuentes consultadas no publican indicadores de compromiso estructurados. No deben inventarse indicadores que no provengan de fuentes oficiales.