概要
Ciscoは10月8日、NX-OSを稼働するNexus 3000および9000シリーズスイッチ(スタンドアロンNX-OSモード)に影響する重大な脆弱性5件に関するセキュリティ勧告を公開した。いずれも未認証の攻撃者による悪用が可能で、最悪の場合root権限での任意コード実行、あるいはデバイスの強制リロードによるサービス停止を招く恐れがある。データセンターや企業ネットワークの中核を担う機器が対象となるため、影響範囲は広い。なお、ACIモードで動作するNexus 9000やNexus 7000シリーズは今回の脆弱性の対象外とされている。
脆弱性の技術的詳細
5件の脆弱性は、NX-APIおよびNext Generation OAM(NGOAM)、MPLS OAMという3つの機能における入力検証の不備に起因する。具体的には、CVE-2026-76471はNX-APIへの入力検証不足によるもので、デフォルトでは無効化されているNX-APIが有効な環境で、巧妙に作成されたHTTPリクエストを送信することで悪用される。CVE-2026-76485、CVE-2026-76486、CVE-2026-76501はNGOAMにおけるIPトラフィックの検証不備で、不正なIPパケットの送信によって引き起こされる。このうちCVE-2026-76486はSRv6またはNVオーバーレイが有効な構成でのみ、CVE-2026-76501はSRv6が有効な構成でのみ影響を受ける(CVE-2026-76485はNGOAM有効時に一般的に影響を受ける)。残るCVE-2026-76465はMPLS OAMのecho-requestパケットの検証不備で、MPLS OAM機能が明示的に有効化されている場合に限り悪用可能となる。いずれも対象機能が無効であれば攻撃は成立せず、デフォルト設定のまま運用している環境ではリスクが低減される点が共通している。
悪用状況と対応策
Cisco は勧告公開時点で、これら5件の脆弱性について「公開された発表や悪意ある悪用の事実は確認していない」としている。発見はCisco社内のセキュリティテストによるもので、現時点で外部からの実際の攻撃報告はない。対応としては、Cisco Software Checkerツールを用いて自社のNX-OSバージョンに該当する修正パッチを特定し、速やかに適用することが推奨されている。パッチ適用までの暫定対応としては、NX-API、NGOAM、MPLS OAMといった利用していない機能を無効化すること、またアップグレード待ちのスイッチに対してはCiscoのLive Protectシールドを適用することが有効な緩和策として挙げられている。
今後の影響
ネットワークの中核を担うスイッチでroot権限を奪取されれば、データセンター全体やその上で動くサービスへの影響が及ぶ可能性があり、攻撃者にとって高い価値を持つ標的となりうる。現時点で野放しの悪用は確認されていないものの、脆弱性の詳細が公開されたことで今後PoCや攻撃コードが出現するリスクは否定できない。該当機器を運用する企業は、まず影響を受ける機能が有効化されているかを確認し、不要であれば無効化、必要であれば早急なパッチ適用を進めることが求められる。