Уязвимость в Cisco NX-OS, операционной системе коммутаторов Cisco Nexus 9000 Series, позволяет злоумышленнику, действующему по сети, выполнить произвольный код на устройстве. Ошибка кроется в обработке данных протокола NGOAM и технологии SRv6. Речь идёт о переполнении буфера в стеке (CWE-121). Оценка по CVSS 3.1 достигает 9,8 из 10, по более ранней CVSS 2.0 - 10. Уязвимость получила идентификатор CVE-2026-76501 и внесена в Банк данных угроз безопасности информации (BDU) под номером BDU:2026-16251.
Уязвимость CVE-2026-76501 в NX-OS для коммутаторов Nexus 9000
Стек вызывает интерес у атакующих по простой причине. Эта область памяти хранит адреса возврата, и запись за её границы позволяет перенаправить выполнение программы. В случае с NX-OS злоумышленник подбирает содержимое сетевых пакетов так, чтобы испортить структуры данных внутри процесса, разбирающего служебный трафик. По данным BDU, способ эксплуатации описан как манипулирование структурами данных.
Вектор атаки выглядит сурово для администраторов. Уязвимость удалённая, сложность эксплуатации низкая, привилегии не нужны, участие пользователя тоже. Иными словами, атакующему достаточно сетевого доступа к устройству. Успешная попытка даёт полный контроль над тремя свойствами системы: конфиденциальностью, целостностью и доступностью. Коммутатор может как выполнить чужой код, так и просто перестать отвечать.
Nexus 9000 - типичная платформа для центров обработки данных. Такие коммутаторы ставят в ядро сети, на границу между сегментами, в связку с виртуальной инфраструктурой. SRv6 (сегментная маршрутизация поверх IPv6) применяют операторы связи и крупные корпоративные сети для управления путями трафика. Протокол NGOAM служит для мониторинга и диагностики. Компрометация устройства из этой прослойки бьёт по всей сети сразу.
Практический риск зависит от конфигурации. Если SRv6 и NGOAM на устройстве не задействованы, поверхность атаки заметно уже. Обратная ситуация складывается у тех, кто использует сегментную маршрутизацию в промышленной эксплуатации. Там коммутатор обрабатывает служебный трафик постоянно, и фильтрация на периметре редко помогает: пакеты приходят от доверенных соседей.
Производитель подтвердил уязвимость. Сведения о наличии готового эксплойта в открытых источниках на момент публикации отсутствуют, BDU помечает этот пункт как уточняемый. Отсутствие публичного эксплойта не отменяет риска. Обратный инжиниринг исправления и появление рабочих образцов - вопрос времени, а сканирование сетей на наличием уязвимых панелей управления ведут круглосуточно. Устройства такого класса часто доступны не только из внутренней сети.
Атака не оставляет следов, похожих на действия вредоносной программы. На коммутаторе нет антивируса, нет агента контроля конечных точек. Обнаружить вмешательство можно по косвенным признакам: нештатные перезагрузки процессов, изменения таблиц маршрутизации, странности в журналах. Поэтому вопрос обнаружения здесь упирается в мониторинг самого сетевого оборудования, а не в защиту рабочих станций.
Масштаб затронутых версий широк. В BDU перечислены релизы NX-OS от 9.2 до 10.6, включая множество промежуточных сборок. Такой разброс объясним: одна и та же функция кочует между ветками, а исправление выходит отдельно для каждой поддерживаемой линии. Администратору стоит сверить точный номер сборки своего устройства с бюллетенем производителя, а не ориентироваться на общую нумерацию ветки.
Обновление закрывает проблему. В BDU способом устранения указано обновление программного обеспечения, а сама уязвимость отмечена как устранённая. Конкретные исправленные релизы перечислены в бюллетене Cisco по адресу, указанному в карточке уязвимости. Ссылка ведёт на страницу рекомендаций производителя, где перечислены версии для каждой платформы и приведены дополнительные сведения по конфигурациям.
Что делать администраторам
Первое действие - обновить NX-OS до сборки из бюллетеня. Если немедленная установка невозможна, есть смысл ограничить доступ к служебным интерфейсам коммутатора списками разрешённых адресов. Второе - проверить, действительно ли SRv6 и NGOAM нужны на каждом устройстве. Отключение неиспользуемых функций снижает поверхность атаки без потери работоспособности сети. Третье - вынести управляющий трафик в отдельный сегмент и запретить к нему доступ из пользовательских подсетей.
Отдельного внимания требует инвентаризация. Если коммутаторы ставили несколько лет назад подрядчики, часть устройств может не попадать в регулярные отчёты об обновлениях. Сканирование сети на предмет версий NX-OS помогает закрыть слепые зоны. Также разумно пересмотреть сроки установки исправлений для сетевого оборудования: простой окна обслуживания здесь на порядок дешевле недееспособного ядра сети.
История с CVE-2026-76501 показывает общую слабость сетевой инфраструктуры. Устройства, через которые идёт весь корпоративный трафик, годами работают без обновлений и без внутреннего контроля. Уязвимость с оценкой 9,8 в таком компоненте бьёт не по одному серверу, а по связности всей сети. Минимизировать последствия можно только регулярной инвентаризацией, контролем конфигураций и обновлением, которое никто не откладывает на следующий квартал.
Ссылки
- https://bdu.fstec.ru/vul/2026-16251
- https://www.cve.org/CVERecord?id=CVE-2026-76501
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ngoam-rce-LWKQ4BU
