Cisco a publié, le 7 octobre 2026, un avis de sécurité concernant trois vulnérabilités critiques dans Cisco NX-OS, le système d’exploitation de plusieurs commutateurs de la gamme Nexus. Référencées CVE-2026-76485, CVE-2026-76486 et CVE-2026-76501, ces failles pourraient permettre à un attaquant distant non authentifié d’exécuter du code arbitraire avec les privilèges root ou de provoquer un déni de service sur un équipement vulnérable.
Les vulnérabilités concernent les commutateurs Cisco Nexus 3000 et Nexus 9000 fonctionnant en mode NX-OS autonome, lorsque la fonctionnalité Next Generation Operations, Administration and Maintenance (NGOAM) est activée et que les conditions spécifiques à chaque faille sont réunies. Cisco attribue à l’avis commun un score de gravité de 9,8 sur 10 selon CVSS 3.1. L’équipement réseau peut ainsi être exposé à une prise de contrôle ou à une interruption de service.
Dans son avis de sécurité officiel, l’équipementier confirme la disponibilité de mises à jour correctives et précise qu’aucune solution de contournement ne corrige directement ces vulnérabilités.
Trois vulnérabilités critiques dans Cisco NX-OS
Les failles identifiées par Cisco affectent la fonctionnalité NGOAM de Cisco NX-OS. Ce mécanisme fournit des fonctions de supervision, de diagnostic et de maintenance des chemins réseau, notamment dans certains environnements utilisant VXLAN ou Segment Routing over IPv6 (SRv6).
Selon le bulletin de sécurité, les vulnérabilités résultent d’une validation incorrecte du trafic IP lorsque NGOAM est activé. Un attaquant pourrait envoyer des paquets spécialement conçus vers une interface IP d’un commutateur concerné afin de déclencher la vulnérabilité.
L’exploitation pourrait conduire à l’exécution de code arbitraire avec les privilèges root. Elle pourrait également provoquer des plantages de processus, un redémarrage de l’équipement et une situation de déni de service.
CVE-2026-76485 : une faille liée à l’activation de NGOAM
La première vulnérabilité, CVE-2026-76485, concerne les commutateurs sur lesquels la fonctionnalité NGOAM est activée.
D’après Cisco, cette activation constitue la condition de configuration nécessaire à l’exposition à cette faille. Un attaquant distant non authentifié pourrait exploiter le problème en transmettant des paquets IP conçus pour déclencher la vulnérabilité.
Le risque est particulièrement important pour les équipements qui remplissent une fonction essentielle dans le réseau d’entreprise. Une compromission pourrait affecter le fonctionnement du commutateur et, selon son rôle dans l’architecture, perturber les communications entre plusieurs systèmes.
CVE-2026-76486 : des conditions supplémentaires liées à SRv6 ou NV Overlay
La deuxième vulnérabilité, CVE-2026-76486, nécessite également que NGOAM soit activé. Elle suppose en outre l’activation de Segment Routing over IPv6 (SRv6) ou de Network Virtualization (NV) Overlay.
Dans le cas de NV Overlay, des conditions supplémentaires sont requises : un identifiant de réseau VXLAN (VNI) doit être associé à une interface NVE, avec au moins un point de terminaison VXLAN distant (VTEP) appris par le commutateur.
Ces prérequis techniques signifient que tous les commutateurs Nexus ne sont pas nécessairement exposés à cette deuxième vulnérabilité. Les administrateurs doivent examiner les fonctionnalités réellement activées et la configuration de leur infrastructure plutôt que de se limiter au modèle matériel.
La fiche de CVE-2026-76486 dans la base nationale américaine des vulnérabilités détaille également le risque d’exécution de code à distance et de déni de service.
CVE-2026-76501 : une vulnérabilité associée à SRv6
La troisième faille, CVE-2026-76501, concerne les équipements sur lesquels NGOAM et SRv6 sont tous deux activés.
SRv6 permet de gérer l’acheminement des paquets IPv6 en utilisant des informations de routage intégrées au mécanisme de transmission. Dans les infrastructures qui exploitent cette technologie, les fonctions de diagnostic associées peuvent jouer un rôle important dans la surveillance et le dépannage du réseau.
Cisco précise que les commutateurs Nexus 3000 ne prennent pas en charge SRv6 et que seuls certains modèles Nexus 9000 disposent de cette fonctionnalité. L’exposition à CVE-2026-76501 dépend donc également des capacités du matériel et de la configuration logicielle.
Les trois vulnérabilités ne doivent pas être considérées comme interchangeables : leurs conditions d’exploitation varient, même si elles concernent toutes la fonctionnalité NGOAM.
Un score CVSS de 9,8 sur 10 et un risque sans authentification
Cisco classe ces vulnérabilités comme critiques et attribue à l’avis commun un score CVSS de 9,8 selon la version 3.1 du référentiel.
Ce score reflète plusieurs caractéristiques importantes : l’exploitation peut être réalisée à distance, la complexité est faible, aucun privilège préalable n’est requis et aucune interaction d’un utilisateur n’est nécessaire selon le vecteur CVSS publié.
L’impact potentiel concerne les trois dimensions classiques de la sécurité informatique :
- Confidentialité : une exécution de code réussie pourrait permettre d’accéder à des informations disponibles sur l’équipement.
- Intégrité : les privilèges root pourraient permettre de réaliser des opérations non autorisées sur le système concerné.
- Disponibilité : des plantages de processus ou le redémarrage du commutateur pourraient interrompre le trafic réseau.
Il faut toutefois distinguer le score de gravité de la preuve d’une exploitation réelle. Dans son bulletin, Cisco indique que son équipe de réponse aux incidents de sécurité ne connaît, au moment de la publication, aucune annonce publique ni utilisation malveillante de ces vulnérabilités. L’entreprise précise également que les failles ont été découvertes lors de tests de sécurité internes.
Cette absence d’exploitation connue ne signifie pas que le risque est négligeable. Elle indique uniquement que Cisco ne disposait pas, au moment de la publication de son avis, d’informations confirmant une exploitation malveillante.
Quels équipements Cisco sont concernés ?
Les vulnérabilités affectent les commutateurs Cisco Nexus 3000 et Nexus 9000 exécutant NX-OS en mode autonome, sous réserve que NGOAM et les fonctionnalités spécifiques requises soient activés.
| Élément | Détails |
|---|---|
| Éditeur | Cisco |
| Logiciel concerné | Cisco NX-OS |
| Produits concernés | Nexus 3000 et Nexus 9000 en mode NX-OS autonome |
| Identifiants | CVE-2026-76485, CVE-2026-76486 et CVE-2026-76501 |
| Gravité | Critique |
| Score CVSS | 9,8/10 — CVSS 3.1 |
| Conditions générales | NGOAM activé, avec des prérequis supplémentaires selon la CVE |
| Impacts possibles | Exécution de code en root et déni de service |
| Publication de l’avis | 7 octobre 2026 |
| Correctifs | Mises à jour logicielles publiées par Cisco |
| Exploitation connue | Aucune exploitation malveillante connue de Cisco au moment de l’avis |
Cisco indique que plusieurs autres familles de produits ne sont pas affectées par ces vulnérabilités, notamment les Nexus 7000 et les Nexus 9000 fonctionnant en mode ACI. Cette distinction est importante : la présence d’un équipement dans la famille Nexus ne suffit pas, à elle seule, à déterminer son exposition.
Pour confirmer la situation d’une installation, les administrateurs peuvent consulter l’avis Cisco et sa section consacrée aux produits vulnérables.
Comment vérifier si un commutateur est vulnérable ?
La première étape consiste à déterminer si NGOAM est activé sur les équipements concernés.
Cisco fournit une commande permettant de vérifier cet état depuis l’interface en ligne de commande de NX-OS :
show feature | include ngoam
Si la fonctionnalité apparaît comme activée, le commutateur doit faire l’objet d’une vérification plus approfondie.
Pour les équipements susceptibles d’être concernés par CVE-2026-76486, les administrateurs doivent également examiner l’état de NV Overlay, les interfaces NVE et les pairs VTEP appris. Les commandes documentées par Cisco comprennent notamment :
show feature | include nveshow running-config | begin "interface nve"show nve vnishow nve peers
Pour vérifier l’exposition à CVE-2026-76501, il convient aussi de déterminer si SRv6 est activé. Cisco documente à cet effet la commande :
show feature | include srv6
Ces vérifications doivent être réalisées en tenant compte des conditions exactes indiquées dans l’avis officiel. Une fonctionnalité activée ne signifie pas automatiquement que toutes les vulnérabilités sont exploitables sur un équipement donné.
Cisco publie des correctifs pour les trois failles
Cisco a publié des mises à jour logicielles destinées à corriger CVE-2026-76485, CVE-2026-76486 et CVE-2026-76501.
L’éditeur recommande aux organisations de passer à une version corrigée de Cisco NX-OS correspondant à leur modèle de commutateur et à leur branche logicielle. Il n’existe pas une version corrective unique applicable à toutes les plateformes et à toutes les versions.
Pour déterminer la mise à jour appropriée, les administrateurs peuvent utiliser le Cisco Software Checker. Cet outil permet d’identifier les avis de sécurité qui concernent une version logicielle donnée et de rechercher la première version intégrant les correctifs nécessaires.
Avant toute mise à jour, les équipes réseau doivent vérifier la compatibilité avec le matériel, les fonctionnalités utilisées et les contraintes opérationnelles. Une intervention sur un commutateur de production peut nécessiter une fenêtre de maintenance, notamment lorsque l’équipement joue un rôle central dans la connectivité de l’entreprise.
Quelles mesures de protection appliquer immédiatement ?
En attendant le déploiement des versions corrigées, plusieurs mesures peuvent contribuer à réduire l’exposition.
1. Désactiver NGOAM si cette fonctionnalité n’est pas nécessaire
Cisco indique que, si NGOAM n’est pas requis dans l’environnement, sa désactivation supprime le vecteur d’attaque associé aux trois vulnérabilités.
La commande documentée par l’éditeur est :
no feature ngoam
Elle s’exécute en mode de configuration globale de Cisco NX-OS.
Cette mesure doit cependant être évaluée avant son application. NGOAM peut être utilisé pour des fonctions de diagnostic ou de maintenance réseau, et sa désactivation peut affecter certains usages opérationnels. Cisco recommande donc de vérifier les conséquences sur l’environnement avant tout changement de configuration.
2. Installer les versions corrigées dès que possible
La désactivation d’une fonctionnalité constitue une mesure temporaire de réduction du risque, et non un remplacement systématique du correctif logiciel.
Les équipes informatiques doivent identifier les équipements concernés, déterminer la version corrective adaptée à chaque plateforme et organiser le déploiement selon les priorités de sécurité et les contraintes de disponibilité.
3. Examiner les dispositifs de protection temporaires
Cisco a également publié des mécanismes de protection Live Protect pour les trois CVE. Selon l’équipement et la version logicielle, ces protections peuvent contribuer à réduire temporairement le risque pendant la préparation d’une mise à jour.
Elles ne remplacent toutefois pas l’installation d’une version corrigée. Leur applicabilité et leurs conditions de déploiement doivent être vérifiées dans la documentation officielle de Cisco sur les protections Live Protect.
4. Surveiller les équipements réseau
Les équipes de sécurité doivent rester attentives aux redémarrages inattendus, aux plantages de processus et aux comportements anormaux des équipements concernés.
Une interruption réseau ne constitue pas, à elle seule, une preuve d’exploitation. Toutefois, la corrélation des journaux, des événements système et des changements de configuration peut aider à déterminer si un incident nécessite une investigation approfondie.
5. Vérifier les dépendances et la résilience du réseau
Les entreprises devraient également identifier les services dépendant des commutateurs concernés, évaluer les conséquences d’un redémarrage et vérifier les mécanismes de redondance disponibles.
Cette préparation permet de réduire l’impact opérationnel d’un incident et de faciliter le rétablissement du service si un équipement devient indisponible.
Conclusion
Les vulnérabilités CVE-2026-76485, CVE-2026-76486 et CVE-2026-76501 représentent un risque sérieux pour les infrastructures utilisant certains commutateurs Cisco Nexus 3000 et 9000. Avec un score CVSS 3.1 de 9,8, elles peuvent permettre une exécution de code avec les privilèges root ou provoquer un déni de service lorsque les conditions d’exploitation sont réunies.
Les administrateurs doivent vérifier l’activation de NGOAM, examiner les fonctionnalités supplémentaires concernées et installer les versions corrigées recommandées par Cisco. Si NGOAM n’est pas nécessaire, sa désactivation peut réduire temporairement l’exposition, sous réserve de ses conséquences opérationnelles. Dans un contexte où la disponibilité du réseau est essentielle, la vérification des configurations et l’application rapide des correctifs constituent les priorités.
SOURCE : GBHACKERS
