Cisco corrige cinco falhas críticas no NX-OS de switches Nexus
A Cisco publicou atualizações de segurança para corrigir cinco vulnerabilidades críticas no NX-OS, sistema operacional usado por switches Nexus em data centers. Se exploradas com sucesso, as falhas podem permitir que um invasor execute código arbitrário com privilégios de root. Caso não consiga assumir o controle do equipamento, o atacante ainda pode provocar a interrupção de processos e reinicializações, causando negação de serviço.
Os problemas afetam switches Nexus das séries 3000 e 9000 que operam em modo standalone com NX-OS. A exploração depende, em todos os casos, de recursos específicos habilitados no equipamento. As cinco vulnerabilidades estão relacionadas a falhas na validação de dados recebidos pelo sistema.
Falhas dependem de serviços habilitados
A CVE-2026-76471 está associada a uma validação insuficiente na NX-API. Um invasor poderia tentar explorá-la enviando uma requisição HTTP maliciosa. Como a NX-API vem desabilitada por padrão, o risco depende de sua ativação e configuração no ambiente.
Três outras vulnerabilidades – CVE-2026-76485, CVE-2026-76486 e CVE-2026-76501 – envolvem validação inadequada de tráfego IP e exigem que o recurso Next Generation OAM (NGOAM) esteja ativo. No caso da CVE-2026-76486, também é necessário que Segment Routing over IPv6 (SRv6) ou Network Virtualization (NV) Overlay esteja habilitado.
A quinta falha, identificada como CVE-2026-76465, está relacionada ao tratamento de pacotes MPLS echo-request. Para que ela possa ser explorada, o recurso MPLS OAM precisa estar ativado explicitamente.
Embora os avisos da Cisco mencionem quatro vulnerabilidades críticas, o conjunto de falhas descrito para os switches Nexus inclui cinco identificadores CVE. Administradores devem considerar todos eles ao verificar quais equipamentos e configurações precisam de atenção.
Atualização é a principal medida de correção
A recomendação da Cisco é instalar uma versão corrigida do NX-OS. A ferramenta Software Checker da empresa permite identificar qual atualização se aplica a cada modelo e versão instalada. Antes de iniciar a manutenção, é importante confirmar a compatibilidade do pacote com o equipamento e seguir os procedimentos internos de mudança.
Quando não forem necessários para a operação, NX-API, NGOAM e MPLS OAM devem ser desabilitados. A desativação desses recursos reduz os caminhos que poderiam ser usados para tentar explorar as vulnerabilidades. Essa medida, porém, não substitui a atualização definitiva do software.
Para equipamentos que não possam ser atualizados e reiniciados imediatamente, a Cisco disponibiliza proteções temporárias chamadas Live Protect. Elas podem ajudar a reduzir a exposição durante o período de transição, mas devem ser tratadas como uma solução provisória, até que a correção seja instalada.
Equipamentos fora do escopo
Segundo a Cisco, switches Nexus 7000 não são afetados pelas cinco vulnerabilidades. Também estão fora do escopo os modelos Nexus 9000 que operam em modo ACI. A distinção entre os modos de operação é importante: pertencer à série Nexus 9000, por si só, não determina se o equipamento está vulnerável.
A empresa informou que identificou os problemas durante testes internos de segurança. No momento da publicação dos comunicados, não tinha conhecimento de exploração maliciosa nem de divulgação pública das falhas. Essa informação não elimina a necessidade de aplicar as correções, especialmente em redes expostas ou que dependem dos recursos afetados.
Cisco License também recebe atualizações
Além dos switches, a Cisco divulgou correções para falhas no Cisco License, anteriormente chamado Smart Software Manager. Os problemas incluem ausência de autenticação em funções críticas, verificação inadequada de assinaturas criptográficas, proteção insuficiente de credenciais e possibilidade de injeção de código.
A falha CVE-2026-76480 recebeu pontuação CVSS 9,8 e envolve falta de autenticação para operações importantes. A CVE-2026-76482, com CVSS 10,0, está ligada à validação inadequada de assinaturas criptográficas. Já a CVE-2026-76483 tem nota 9,1 e afeta a proteção de credenciais, enquanto a CVE-2026-76484, avaliada em 8,8, permite injeção de código.
Para corrigir os problemas do Cisco License, a orientação é atualizar para a versão 10-202609. A empresa informou que não há medidas alternativas disponíveis e que versões mais antigas não receberão correção. Organizações que ainda utilizem essas edições devem planejar a migração para a versão corrigida.
O que os administradores devem verificar
A avaliação deve começar pelo inventário dos equipamentos: modelo, versão do NX-OS, modo de operação e recursos ativados. Em seguida, é necessário conferir se NX-API, NGOAM, SRv6, NV Overlay ou MPLS OAM estão habilitados e se são realmente necessários para os serviços de rede.
Também é recomendável priorizar a atualização dos dispositivos que utilizam os recursos associados às falhas e que desempenham funções críticas no data center. Depois da instalação, as equipes devem confirmar a versão em execução e verificar se os serviços e as políticas de rede continuam operando normalmente.
Enquanto a correção não for aplicada, a redução de serviços desnecessários, o monitoramento de eventos e o controle rigoroso do acesso administrativo ajudam a limitar a exposição. Ainda assim, essas medidas complementares não eliminam a vulnerabilidade: a atualização para uma versão corrigida continua sendo a ação mais importante.