Cisco corrige fallas críticas en NX-OS que afectan a switches Nexus, MDS y fabric interconnects UCS

Cisco publicó el 7 de octubre de 2026 un aviso de seguridad de severidad crítica para su software NX-OS que reúne seis identificadores CVE. Dos de ellos, CVE-2026-76455 y CVE-2026-76459, tienen un puntaje CVSS 3.1 de 9.8 asignado por el propio fabricante (psirt@cisco.com), según el aviso y los registros de la National Vulnerability Database (NVD). El vector que publica Cisco para el aviso indica un ataque por red, de baja complejidad, sin privilegios previos y sin interacción del usuario.

Las fallas afectan, cuando ejecutan una versión vulnerable de NX-OS y sin importar su configuración, a los switches MDS 9000, Nexus 3000, Nexus 7000, Nexus 9000 (tanto en modo ACI como en modo NX-OS independiente) y a los fabric interconnects UCS de las series 6300, 6400, 6500 y 6600, además del UCS X-Series Direct Fabric Interconnect 9108 100G. Cisco aclara que no existen soluciones alternativas y recomienda actualizar a las versiones corregidas. Los equipos de red deberían inventariar qué versiones tienen en uso y planificar la actualización cuanto antes.

Qué cubre el aviso

Según Cisco, el paquete es resultado de una revisión de seguridad interna del equipo de ingeniería de NX-OS. Las vulnerabilidades se encontraron en pruebas internas, con los procesos habituales y también con modelos de inteligencia artificial de frontera. Para simplificar la aplicación de parches, el fabricante agrupó los problemas por clase de debilidad (CWE) y asignó un único CVE a cada clase. El puntaje de cada CVE representa la severidad máxima de la falla más grave dentro de esa categoría.

Cisco indica que su equipo de respuesta (PSIRT) no tiene conocimiento de anuncios públicos ni de uso malicioso de estas fallas. Los registros de la NVD consultados tampoco las muestran en el catálogo de vulnerabilidades explotadas activamente (KEV) de CISA.

Versiones corregidas

El aviso detalla la primera versión con la corrección para cada familia de productos:

• Nexus 3000 y Nexus 9000 en modo NX-OS independiente: 10.3(10) para la rama 10.3 y anteriores; 10.4(8); 10.5(6); 10.6(4).
• Nexus 9000 en modo ACI: 16.0(9h) para la rama 16.0 y anteriores; 16.1(6g); 16.2(3g).
• Nexus 7000: 8.4(14). Las versiones 8.3 y anteriores deben migrar a una versión corregida.
• MDS 9000: 9.4(5a). Las versiones 9.3 y anteriores deben migrar a una versión corregida.
• Fabric interconnects UCS: en modo administrado por UCS Manager, 4.3(6j) y 6.0(2e); en modo Intersight, 4.3(6.260049) y 6.0(2.260080). La versión 4.3(6.260059) corresponde solo al 9108 100G. La rama 4.2 y anteriores deben migrar.

Cisco también lista reglas de Snort asociadas al aviso (67188, 67191 y 67192).

Otros avisos críticos para NX-OS el mismo día

La notificación anticipada que Cisco publicó el 30 de septiembre y actualizó el 7 de octubre incluye, además de este paquete, otros avisos críticos con CVSS 9.8 para NX-OS: ejecución remota de código en MPLS OAM de los Nexus 3000 y 9000 (CVE-2026-76465), ejecución remota de código en NGOAM de esas mismas series (CVE-2026-76485, CVE-2026-76486 y CVE-2026-76501) y ejecución remota de código en NX-API (CVE-2026-76471). El material disponible no incluye el detalle ni las versiones corregidas de esos avisos, por lo que conviene revisar cada uno en el portal de Cisco antes de definir a qué versión actualizar.

Cisco explica que, bajo su modelo de divulgación basado en riesgo, publica estos paquetes el primer y el tercer miércoles de cada mes, con un aviso previo de siete días.

Por qué importa en la región

Las fuentes no aportan cifras sobre la cantidad de equipos afectados en Latinoamérica. Sin embargo, los productos incluidos son infraestructura de centro de datos: switches de núcleo y de agregación, redes de almacenamiento y la capa de interconexión de servidores UCS. Es el tipo de equipamiento que suelen operar bancos, operadores de telecomunicaciones, proveedores de nube y hosting, y organismos públicos con centros de datos propios. Que el vector de ataque sea por red y sin autenticación hace especialmente relevante revisar qué interfaces de administración de estos equipos son accesibles y desde dónde.

Qué conviene hacer

• Identificar todos los equipos Nexus, MDS y fabric interconnects UCS y comparar su versión con las tablas del aviso.
• Actualizar a la versión corregida correspondiente o migrar si la rama ya no recibe corrección.
• Revisar los demás avisos críticos de NX-OS publicados el mismo día para elegir una versión que resuelva todos los que apliquen.
• Verificar, como recomienda Cisco, que los equipos tengan memoria suficiente y que la configuración siga siendo compatible con la nueva versión.
• Quienes no tengan contrato de servicio pueden solicitar la actualización gratuita al centro de asistencia técnica (TAC) de Cisco, con el número de serie del equipo y la URL del aviso.

Como práctica general, y mientras se completa la actualización, limitar el acceso a las interfaces de gestión a redes de administración reduce la superficie expuesta, aunque Cisco no lo presenta como mitigación.