Сетевая безопасность Cisco Nexus 11 октября 2026 года
Cisco NX-OS: критические уязвимости коммутаторов Nexus в октябре 2026 года
Cisco опубликовала предупреждения об уязвимостях NX-API и NGOAM, затрагивающих отдельные конфигурации коммутаторов Nexus. Максимальная оценка CVSS составляет 9,8 из 10. Разбираем, какое оборудование действительно подвержено риску, что следует проверить администратору и почему одной фильтрации доступа недостаточно для полноценного устранения проблемы.
Что произошло и когда
7 октября 2026 года Cisco выпустила несколько бюллетеней безопасности для сетевой платформы NX-OS. В частности, опубликовано предупреждение о выполнении произвольного кода через NX-API (CVE-2026-76471), а также отдельное предупреждение о трёх уязвимостях механизма NGOAM (CVE-2026-76485, CVE-2026-76486 и CVE-2026-76501). 8 октября производитель уточнил информацию об исправленных версиях для NX-API.
Таким образом, это не новый выпуск от 10 или 11 октября: речь об актуальном октябрьском комплекте предупреждений, который необходимо учитывать при обслуживании затронутой сетевой инфраструктуры.
Какие уязвимости раскрыты
Самые важные предупреждения относятся к интерфейсам управления и функциям диагностики сетевой фабрики. Они не являются проблемой всех домашних маршрутизаторов или любых PoE-коммутаторов.
| Идентификатор | Затронутая функция | Необходимые условия | Возможное последствие |
|---|---|---|---|
| CVE-2026-76471 | NX-API | Уязвимая версия NX-OS и включённый NX-API на Nexus 3000/9000 в автономном режиме | Выполнение кода с правами root или отказ в обслуживании |
| CVE-2026-76485 | NGOAM | NGOAM включён на затронутом Nexus 3000/9000 | Выполнение кода или отказ в обслуживании |
| CVE-2026-76486 | NGOAM и дополнительные сетевые функции | NGOAM и SRv6 либо определённая конфигурация NV Overlay / EVPN VXLAN | Выполнение кода или отказ в обслуживании |
| CVE-2026-76501 | NGOAM и SRv6 | Одновременно включены NGOAM и SRv6 на поддерживающей их платформе | Выполнение кода или отказ в обслуживании |
Для NX-API Cisco также указывает UCS 6300 Series Fabric Interconnects. Там условия иные: задействован Cisco UCS Manager XML API, а эксплуатация требует действующих учётных данных пользователя с ограниченными правами. Поэтому нельзя переносить сценарий «без аутентификации» с Nexus на UCS 6300 без оговорок.
Кому необходимо проверить оборудование
Дата-центры и серверные
В первую очередь проверьте коммутаторы Nexus 3000 и Nexus 9000, работающие под управлением NX-OS, включая системы с автоматизированным управлением и VXLAN-фабриками.
Предприятия и крупные сети
Особое внимание требуется там, где функции NX-API или NGOAM включены для мониторинга, оркестрации либо диагностики. Оцените также доступность соответствующих интерфейсов из недоверенных сегментов.
Небольшие офисы и дома
Само наличие IP-камер, NAS, обычного коммутатора Cisco или домашнего маршрутизатора не подтверждает затронутость указанными CVE. Сначала проверьте модель и установленную операционную систему.
По бюллетеню NX-API, эта функция на Nexus 3000 и 9000 отключена по умолчанию. Кроме того, Cisco отдельно исключает из его области некоторые другие линейки и Nexus 9000 в режиме ACI. Это не освобождает от проверки других бюллетеней, относящихся к конкретному устройству.
Как проверить уязвимость без рискованных действий
Для первичной инвентаризации достаточно read-only проверок через уже разрешённый административный доступ. Эти команды не изменяют конфигурацию, но выполнять их следует только на оборудовании, за которое вы отвечаете.
Уточните платформу и версию
Зафиксируйте точную модель, режим NX-OS или ACI, установленную версию ПО и роль коммутатора в сети. Сверьте их с разделом Affected Products соответствующего бюллетеня Cisco.
Проверьте NX-API
В Cisco NX-OS используется команда просмотра состояния функции:
show feature | include nxapiНаличие строки со статусом enabled означает, что функция включена, но не заменяет проверку версии ПО.
Проверьте NGOAM
Для соответствующего предупреждения:
show feature | include ngoamДля CVE-2026-76486 и CVE-2026-76501 дополнительно сверяют фактическую конфигурацию SRv6 и NV Overlay с требованиями бюллетеня. Одного названия модели здесь недостаточно.
Найдите исправленный релиз
Используйте Cisco Software Checker и раздел Fixed Software для нужной модели. Универсального номера прошивки, подходящего всем Nexus, не существует.
Что делать, если устройство затронуто
- Запланировать обновление. Cisco выпустила исправленные версии; перед установкой проверьте аппаратную совместимость, зависимости, доступность резервного пути управления и окно обслуживания.
- Сохранить конфигурацию и план отката. В рабочих сетях изменение прошивки коммутатора может повлиять на маршрутизацию, VLAN, VPN, системы видеонаблюдения и серверные сервисы.
- Ограничить административный доступ. Не публикуйте интерфейсы управления непосредственно в интернет; используйте доверенную management-сеть и точные правила межсетевого экрана. Это мера снижения риска, а не замена обновления.
- Проверить необходимость включённых функций. Если NX-API или NGOAM не используется, оцените возможность их штатного отключения после проверки зависимостей, с сохранением плана восстановления.
- Изучить временные меры Cisco. Для отдельных CVE производитель предлагает Live Protect shields, которые применяются как временное смягчение риска до обновления. Поддержка и пригодность таких мер зависят от оборудования и конфигурации.
Как это связано с видеонаблюдением, NAS и умным домом
Обычная сеть частного дома или небольшого офиса редко использует Nexus с NX-OS. Однако принцип касается любой инфраструктуры: административные интерфейсы оборудования должны быть защищены отдельно от клиентского трафика. Это важно для NAS, регистраторов видеонаблюдения, IP-камер, контроллеров автоматизации и сетевых коммутаторов.
Разделение устройств по VLAN, точная межсегментная фильтрация и своевременное обновление прошивок дополняют друг друга. При этом VLAN сама по себе не закрывает уязвимость внутри сервиса, доступного из разрешённого сегмента.
Частые вопросы
Все ли коммутаторы Cisco подвержены этим уязвимостям?
Нет. В описанных бюллетенях перечислены конкретные семейства, режимы работы и функции. Обычные устройства с другой операционной системой нельзя автоматически относить к затронутым.
Если NX-API выключен, обновление не нужно?
Отключённый NX-API исключает обозначенное в бюллетене NX-API условие эксплуатации на Nexus 3000/9000, но не доказывает отсутствие других уязвимостей в установленной версии NX-OS. Нужно сверить все применимые предупреждения.
Можно ли ограничиться VLAN или закрытым доступом из интернета?
Нет. Сегментация и ограничения доступа уменьшают поверхность атаки, но не устраняют программную ошибку. Если устройство затронуто, требуется исправленный релиз или рекомендованная производителем временная мера до его установки.
Нужно ли срочно менять домашний маршрутизатор или IP-камеры?
Из этих бюллетеней такой вывод не следует. Проверять необходимо конкретные устройства по документации их производителей и установленным версиям прошивок.
Официальные источники
- Cisco: NX-API Remote Code Execution, CVE-2026-76471. Опубликовано 7 октября, обновлено 8 октября 2026 года.
- Cisco: NGOAM Remote Code Execution, CVE-2026-76485, CVE-2026-76486, CVE-2026-76501. Опубликовано 7 октября 2026 года.
- Cisco: NX-OS Software Security Hardening Release, October 2026.