Cisco NX-OS Software: Remote Code Execution in NX-API

Zusammenfassung

Eine kritische Schwachstelle im NX-API-Feature von Cisco NX-OS Software erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, durch eine manipulierte HTTP-Anfrage beliebigen Code mit Root-Rechten auszuführen oder einen Denial of Service auszulösen. Betroffen sind Switches der Serien Nexus 3000 und Nexus 9000 im Standalone-NX-OS-Modus sowie Fabric Interconnects der UCS 6300 Series. Bei den Nexus-Switches setzt der Angriff voraus, dass NX-API aktiviert ist, was standardmässig nicht der Fall ist. Bei den UCS-6300-Geräten benötigt der Angreifer gültige Zugangsdaten eines Benutzers mit niedrigen Berechtigungen für die UCS-Manager-XML-API.

Betroffen

• Switches der Serie Nexus 3000 mit aktivierter NX-API (verwundbare NX-OS-Versionen)
• Switches der Serie Nexus 9000 im Standalone-NX-OS-Modus mit aktivierter NX-API
• Fabric Interconnects der UCS 6300 Series (UCS-Manager-XML-API, gültige Zugangsdaten mit niedrigen Berechtigungen erforderlich)
• Der CVE-Eintrag nennt NX-OS 9.2(1) bis 9.3(4) und UCS Managed 4.0(1a) bis 4.1(2a); das Cisco-Advisory ist massgebend

Behoben in

Unbekannt. Cisco stellt korrigierte Software bereit; die erste korrigierte Version pro Release-Linie ist dem Cisco-Advisory und dem Software Checker zu entnehmen. Das Advisory wurde am 8. Oktober 2026 aktualisiert (Version 1.1).

Umgehung

• Cisco gibt an, dass es für diese Schwachstelle keine Workarounds gibt.
• Cisco bietet einen Live Protect Shield als temporäre Massnahme bis zur Aktualisierung an; siehe Nexus 9000 NX-OS Security Configuration Guide.
• NX-API deaktivieren, falls sie nicht benötigt wird (Prüfung mit: show feature | include nxapi).

Ausnutzung

• Cisco meldet keine öffentlichen Ankündigungen oder böswillige Nutzung.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog gelistet; kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.

Unsere Empfehlung

• Prüfen, ob Switches der Serien Nexus 3000/9000 (Standalone-NX-OS) oder UCS-6300-Fabric-Interconnects im Einsatz sind.
• Prüfen, ob NX-API aktiviert ist, und den Zugriff auf die Management-Netze einschränken.
• So rasch wie möglich auf eine im Cisco-Advisory aufgeführte korrigierte Version aktualisieren; bis dahin den Live Protect Shield verwenden.
• Management-Schnittstellen auf ungewöhnliche HTTP-Anfragen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-napi-rce-r2shwu2j sec.cloudapps.cisco.com
• Cisco Security Advisory (www.cisco.com mirror) www.cisco.com
• Forkast: Cisco NX-API unauthenticated root RCE forkast.news
• FieldEffect: Cisco critical NX-OS remote code execution fieldeffect.com
• Vulners: Rapid7 entry for CVE-2026-76471 vulners.com
• Strix: CVE-2026-76471 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:44.