Cisco heeft onlangs beveiligingsupdates vrijgegeven voor drie kritieke kwetsbaarheden die zijn aangetroffen in hun Nexus 3000 en 9000 Series switches. Deze kwetsbaarheden bevinden zich in de Next Generation Operation, Administration, and Maintenance (NGOAM) functie van Cisco NX-OS Software en zijn ontdekt tijdens interne beveiligingstests.

De kwetsbaarheden, geïdentificeerd als CVE-2026-76485, CVE-2026-76486 en CVE-2026-76501, ontstaan door een onjuiste validatie van inkomend IP-verkeer wanneer de NGOAM-functie is ingeschakeld. NGOAM speelt een rol bij netwerkcontroles en probleemoplossing, met ondersteuning voor functies zoals VXLAN voor lusdetectie en Segment Routing over IPv6 (SRv6) voor connectiviteitscontroles.

Deze kwetsbaarheden stellen externe aanvallers in staat om zonder authenticatie code uit te voeren met root-privileges. De gevolgen van succesvolle aanvallen kunnen variëren van het laten crashen van processen en het herladen van switches tot significante verstoringen van netwerkdiensten. Cisco's beveiligingsadvies, gepubliceerd op 7 oktober 2026, categoriseert deze kwetsbaarheden met een CVSS-basisscore van 9.8, wat duidt op een zeer hoog risico.

De mate waarin de kwetsbaarheden misbruikt kunnen worden, verschilt per specifieke CVE. CVE-2026-76485 kan worden benut zodra NGOAM is ingeschakeld. Voor CVE-2026-76486 is naast de inschakeling van NGOAM ook SRv6 of een specifieke Network Virtualization Overlay (NVO) configuratie vereist. CVE-2026-76501 vereist ten slotte de activering van zowel NGOAM als SRv6. Het is belangrijk op te merken dat Nexus 3000 switches SRv6 niet ondersteunen, en slechts een beperkt aantal Nexus 9000 modellen SRv6 ondersteunen.

Nexus 9000 switches die in ACI-modus opereren, Nexus 7000 switches en MDS 9000 multilayer switches worden niet getroffen door deze specifieke kwetsbaarheden. Als een mitigerende maatregel kan het uitschakelen van een onnodige NGOAM-functie de aanvalsvector elimineren. Cisco heeft tevens Live Protect shields uitgebracht als een tijdelijke bescherming tegen de kwetsbaarheden. Organisaties worden aangeraden om de Cisco Software Checker te gebruiken om de juiste beveiligde release te identificeren voor het verhelpen van deze kwetsbaarheden.