Cisco NX-OS: sei CVE nell'hardening di ottobre 2026, due critiche 9.8 senza workaround

Il 7 ottobre 2026 Cisco ha pubblicato un unico avviso, Cisco NX-OS Software Security Hardening Release: October 2026, che corregge sei vulnerabilità nel sistema operativo che fa girare il fabric di switching del data center — switch Nexus 3000, 7000 e 9000, director di storage MDS 9000 e UCS Fabric Interconnect. Due delle sei sono valutate CVSS 9.8. Il Security Impact Rating complessivo è Critical, non esistono workaround e l'unico rimedio è l'aggiornamento software. Cisco le ha trovate tutte da sola, in una revisione interna, e dichiara che nessuna è stata usata in un attacco. Proprio quell'ultimo dato è il motivo per muoversi ora, non per aspettare.

Notizia in evoluzione — pubblicata alle 18:09 (16:09 UTC) del 7 ottobre 2026. Aggiornata man mano che vendor e CISA pubblicano.

In breve

CVE	CVE-2026-76453 · CVE-2026-76455 · CVE-2026-76456 · CVE-2026-76457 · CVE-2026-76458 · CVE-2026-76459 (record NVD non ancora pubblicati al 2026-10-07)
Prodotto / versioni colpite	Cisco NX-OS su MDS 9000 (≤ 9.3) · Nexus 3000/9000 standalone (≤ 10.6) · Nexus 7000 (≤ 8.4) · Nexus 9000 in modalità ACI (16.0–16.2) · UCS Fabric Interconnect 6300/6400/6500/6600/9108 (≤ 6.0)
Corretta in	MDS 9.4(5a) · Nexus 3000/9000 10.3(10)·10.4(8)·10.5(6)·10.6(4) · Nexus 7000 8.4(14) · ACI 16.0(9h)·16.1(6g)·16.2(3g) · UCS FI 4.3(6j)·6.0(2e)
CVSS	Due a 9.8 Critical (CVE-2026-76455 bypass di autorizzazione; CVE-2026-76459 scrittura fuori dai limiti) · quattro a 8.6–8.8 High — assegnati da Cisco (CNA)
Sfruttata attivamente	No — "The Cisco PSIRT is not aware of any public announcements or malicious use"
CISA KEV	Non presente (catalogo versione 2026.10.04)
PoC pubblico	Nessuno pubblico al 2026-10-07
Advisory ufficiale	cisco-sa-hardening-nxosw1-cWzSbtR

Cosa ha rilasciato davvero Cisco

L'avviso raggruppa sei classi di debolezza distinte, tutte emerse in quella che Cisco descrive come "una revisione di sicurezza interna completa" condotta dal team di ingegneria NX-OS. Le due che contano di più:

• CVE-2026-76455 — controllo degli accessi improprio (bypass di autorizzazione/autenticazione), CVSS 9.8. Cisco ha valutato la coppia critica con un vettore di rete e senza autenticazione: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CVE-2026-76459 — una scrittura fuori dai limiti (buffer overflow su stack/heap, calcolo errato della dimensione del buffer), CVSS 9.8. I bug di corruzione della memoria nel control plane di uno switch sono quelli che portano all'esecuzione di codice sul dispositivo, non a un semplice crash.

Le altre quattro sono High: CVE-2026-76453 (iniezione di comandi/OS/argomenti, 8.8), CVE-2026-76456 (path traversal, 8.6), CVE-2026-76457 (lettura fuori dai limiti / esposizione di informazioni, 8.6) e CVE-2026-76458 (asserzione raggiungibile → denial of service, 8.6). Cisco non ha pubblicato i vettori CVSS per singola CVE delle quattro High nel riepilogo: i relativi prerequisiti di privilegio vanno quindi considerati "vedi l'advisory", senza dare per scontato che siano tutte non autenticate.

Ciò che rende scomodo questo rilascio non sono i punteggi — è la superficie. NX-OS è il fabric. Un Nexus 9000 o un director MDS 9000 non è una web app finita online per errore: è la cosa di cui tutti gli altri dispositivi si fidano. Sta nel core, viene riavviato di rado fuori da una finestra di manutenzione e non è quasi mai il bersaglio di un penetration test. Il management plane dello switch è esattamente il punto che chi difende dà per sicuro perché è "interno".

Chi è esposto — e come verificare la versione

Il perimetro copre gran parte del portafoglio data center di Cisco, quindi il primo compito è un inventario accurato. Su qualsiasi dispositivo NX-OS:

show version | include "system:|NXOS:|kickstart:"
show module

Confronta la release in esecuzione con le versioni corrette qui sotto. Gli intervalli colpiti sono ampi — "10.6 e precedenti", "6.0 e precedenti" — quindi l'ipotesi prudente è che un dispositivo non aggiornato sia vulnerabile finché un controllo di versione non dimostra il contrario.

Piattaforma	Colpita	Release corretta
MDS 9000	9.3 e precedenti	9.4(5a)
Nexus 3000 / 9000 (standalone NX-OS)	da 10.3 e precedenti fino a 10.6	10.3(10), 10.4(8), 10.5(6), 10.6(4)
Nexus 7000	8.3 e precedenti, 8.4	8.4(14)
Nexus 9000 (modalità ACI)	da 16.0 a 16.2	16.0(9h), 16.1(6g), 16.2(3g)
UCS Fabric Interconnect (6300/6400/6500/6600/9108)	da 4.2 e precedenti fino a 6.0	4.3(6j), 6.0(2e)

"Non siamo esposti su Internet, il Nexus è nel core." — È proprio quella l'esposizione. L'accesso laterale alla management VRF di uno switch di core è un obiettivo di routine una volta che l'attaccante è dentro; un bypass di autorizzazione 9.8 su quel piano trasforma un punto d'appoggio nel controllo del fabric.

Remediation

L'avviso non include alcun workaround, quindi il piano è patch-first con controlli temporanei disciplinati. Trattandosi di switch di produzione legati a finestre di manutenzione, la sequenza conta più della velocità.

1. Sono interessato? Esegui show version su ogni dispositivo NX-OS e mappa il train in esecuzione sulla tabella sopra. Estrailo su larga scala dall'inventario NMS/Ansible invece che box per box — il rischio è lo switch che hai dimenticato di avere (un vecchio Nexus 7000 in una sede remota, un director MDS in un pod di storage).

2. Patch — release corrette esatte. Aggiorna al train corretto per ciascuna piattaforma: MDS 9.4(5a), Nexus 3000/9000 standalone 10.3(10) / 10.4(8) / 10.5(6) / 10.6(4) (prendi la maintenance release del tuo train), Nexus 7000 8.4(14), Nexus 9000 modalità ACI 16.0(9h) / 16.1(6g) / 16.2(3g), UCS FI 4.3(6j) / 6.0(2e). Verifica l'integrità dell'immagine prima del caricamento.

3. Non puoi applicare la patch stanotte? Riduci il management plane. Fino alla finestra di manutenzione, limita chi può raggiungere il management NX-OS: blocca l'interfaccia mgmt0 e qualsiasi management VRF in-band dietro management ACL e Control Plane Policing (CoPP), consenti SSH/API solo da un range di jump-host definito, disabilita i servizi di management inutilizzati (NX-API, vecchio SNMP) e applica l'AAA senza account locali condivisi. Non correggono i bug; tolgono la raggiungibilità da cui dipende una 9.8 di rete e senza autenticazione.

4. Cerca segni di compromissione. Non ci sono indicatori pubblicati — Cisco le ha trovate internamente e non segnala sfruttamento — quindi caccia sui comportamenti, non sugli IOC. Su uno switch di core i segnali sono anomalie di configurazione e di accesso: sessioni configure inattese, nuovi utenti locali o chiavi SSH, modifiche ad AAA o ACL, scritture copy running-config/immagine inspiegate e connessioni al management plane da host che non dovrebbero toccarlo. Invia syslog NX-OS, accounting AAA ed eventi di cambio configurazione fuori dal dispositivo verso un SIEM — uno switch compromesso non è affidabile nel riferire su se stesso. Mappa l'accesso iniziale su T1190 Exploit Public-Facing Application al management plane e sorveglia la persistenza su dispositivi di rete (immagine di boot modificata, configurazione fraudolenta).

5. Elimina e verifica. Se trovi manomissioni: ricostruisci da un'immagine nota e integra, ruota ogni credenziale e chiave custodita dal dispositivo (account locali, segreti TACACS+/RADIUS, community SNMP, token API) e riverifica la configurazione rispetto al tuo template di riferimento dopo la patch, non prima.

Cosa non si sa ancora

• Arricchimento NVD. Al 2026-10-07 i sei record CVE non restituiscono risultati dall'API NVD; punteggi CVSS indipendenti, vettori e mappature CWE arriveranno dopo. I punteggi qui sopra sono quelli di Cisco.
• Prerequisiti di attacco per singola CVE. Cisco ha pubblicato un unico vettore CVSS critico (rete, senza autenticazione) ma non i vettori individuali delle quattro High — dal riepilogo non è ancora chiaro se ciascuna richieda autenticazione.
• Sfruttamento e PoC. Nessuno segnalato e nessuno pubblico oggi. Bug di corruzione della memoria e di bypass di autenticazione su apparati Cisco molto diffusi hanno storicamente attirato in fretta lo sviluppo di exploit una volta uscite le patch e rese confrontabili con un diff: è improbabile che la finestra tranquilla duri.

Il fabric che nessuno testa

Una tabella di versioni risponde a una domanda — quale build sto usando — e a tre no: il percorso di codice vulnerabile è davvero raggiungibile sulla mia topologia e configurazione; il bypass di autorizzazione o il buffer overflow scatterebbero davvero contro il mio dispositivo; e l'aggiornamento ha chiuso davvero il buco o ha solo cambiato un numero. Cisco ha risposto alla prima al posto tuo. Il resto è lo scarto tra "patchato, secondo l'inventario" e "non sfruttabile, dimostrato".

Quello scarto qui è ampio perché gli switch di core sono gli asset che un penetration test annuale o trimestrale salta — troppo critici per la produzione per toccarli, troppo "interni" per metterli in cima alla lista. Cisco ha chiuso queste sei puntando i propri strumenti sul proprio codice; la stessa classe di analisi automatica è a disposizione di chiunque voglia studiare il diff della patch. "Non sfruttata" è il vantaggio, non il via libera.

È ciò che un red team autonomo basato su AI è costruito per colmare. Zero Hunt fa girare uno swarm di 10 agenti che tratta il management plane di un Nexus o di un MDS come un bersaglio in scope: ne identifica la piattaforma esatta e il train in esecuzione, poi — poiché non esiste un PoC pubblico — scrive un proof-of-concept per-bersaglio con un modello locale, testato in backtest nell'AI Gym prima ancora di toccare il dispositivo, ed esegue ogni passo di sfruttamento in un container effimero con un human in the loop che autorizza qualunque azione possa disturbare un fabric vivo. Gira on-premise su modelli privati — nulla della topologia di core lascia l'apparato — e una campagna attivata dai cambiamenti ri-testa entro l'ora quando un nuovo dispositivo compare sul fabric: è la cadenza di cui ha bisogno una validazione continua e che un pentest puntuale non può eguagliare.

Poi c'è la domanda che questo rilascio impone a chi gestisce una flotta: sei correzioni, due da 9.8, nessun workaround, su switch che non puoi riavviare a piacere. L'AI Remediation Advisor di Zero Hunt ordina cosa toccare per primo in base alla sfruttabilità reale — stato KEV, cosa la campagna ha effettivamente dimostrato raggiungibile sulle tue macchine, poi CVSS ed EPSS — indica la release corretta esatta per ogni train con note di rollout e rollback e i controlli ACL/CoPP sul management plane per tenere la linea fino alla finestra, e poi riverifica la correzione con la stessa prova che aveva dimostrato l'esposizione, con ogni evidenza firmata al momento della scrittura per l'audit trail. È la differenza tra un foglio di calcolo di versioni e un piano ordinato e difendibile per la settimana in cui il fabric va patchato. Per la controparte sul lato routing di Cisco, vedi la nostra analisi dell'hardening release di IOS XE.