CVE-2026-76485 : exécution de code à distance dans NGOAM Cisco Nexus

CVE-2026-76485 concerne les commutateurs Cisco Nexus 3000 et 9000 en mode NX-OS autonome lorsque NGOAM est activé. Vérifiez l’état de la fonctionnalité, évaluez l’impact avant de la désactiver et utilisez Cisco Software Checker pour trouver le correctif de votre plateforme et branche.^{[1], [2]}

Vecteur CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

💡 Explication en Langage Simple (ELI5)

Imaginez une fonctionnalité du commutateur comme une porte de service supplémentaire dans un bâtiment protégé. Lorsque NGOAM est activé, Cisco indique qu’un trafic réseau malformé peut atteindre une faille de validation par cette porte. Vérifiez d’abord si elle est ouverte ; la fermer peut perturber le réseau, donc ne désactivez cette fonctionnalité que si votre architecture n’en a pas besoin et si l’impact est approuvé.^[1]

Concepts Clés et Termes

NGOAM: NGOAM (Next Generation OAM) : fonction d’exploitation et de maintenance réseau des commutateurs Nexus.^[1]
NX-OS autonome: Mode NX-OS concerné par l’avis ; les Nexus 9000 en mode ACI sont indiqués comme non concernés.^[1]
Première version corrigée: Première version Cisco qui corrige l’avis pour le produit, la plateforme et la branche sélectionnés.^[2]

Correspondances de référentiels

Référence CWE pour la faiblesse décrite dans ce guide : CWE-121

Analyse de Cause Racine

Cisco attribue CVE-2026-76485 à une validation incorrecte du trafic IP lorsque Next Generation OAM (NGOAM) est activé sur les commutateurs Cisco Nexus 3000 ou 9000 exécutant NX-OS en mode autonome. Cisco décrit des paquets forgés envoyés à une interface IP comme voie d’attaque et attribue CVSS 3.1 9.8 Critical, CWE-121. Une attaque réussie pourrait exécuter du code avec les privilèges root ou provoquer un déni de service. Cisco indique que la faille a été découverte lors de tests internes et que, lors de la publication de l’avis le 07/10/2026, le PSIRT n’avait connaissance ni d’annonces publiques ni d’exploitation malveillante. Cisco ne publie ni code vulnérable ni diff ; la configuration ci-dessous est une vérification d’exposition et une mesure conditionnelle, pas une reconstruction du code. Le même avis couvre CVE-2026-76486 et CVE-2026-76501, mais leurs prérequis SRv6 ou NV Overlay sont supplémentaires ; ne les attribuez pas à CVE-2026-76485.^[1]

Applicabilité et correction de CVE-2026-76485

Plateforme / état	Indication de l’avis	Décision de l’opérateur
Nexus 3000/9000, NX-OS standalone, NGOAM activé	Il s’agit de la configuration concernée documentée.	Relevez `show feature \| include ngoam`, évaluez l’exposition et mettez à niveau vers la version sélectionnée pour cette plateforme précise.
NX-OS standalone, NGOAM désactivé	Le prérequis de configuration NGOAM est absent ; la désactivation n’est qu’une mesure temporaire si la fonction n’est pas nécessaire.	Ne considérez pas l’état de la fonction comme un correctif logiciel. Évaluez l’impact opérationnel et planifiez tout de même la mise à niveau applicable.
Nexus 9000 en mode ACI	Cisco confirme que ce mode n’est pas concerné par cet avis.	Consignez le mode ; n’appliquez pas l’indication d’exposition du NX-OS standalone.
Choix de la version corrigée	L’avis ne donne pas de version NX-OS universelle ; la première version corrigée dépend du produit, de la plateforme et de la version installée exacts.	Utilisez Cisco Software Checker pour obtenir la version corrigée propre à l’équipement.
`CVE-2026-76486` / `CVE-2026-76501` connexes	Ces vulnérabilités connexes ont des prérequis supplémentaires liés à SRv6 ou NV Overlay.	Évaluez chaque CVE selon ses propres conditions de fonction ; ne déduisez pas son exposition de cette ligne.

Déroulement de l'Attaque Étape par Étape

Étape 1

Confirmer la plateforme et le mode

Vérifiez que l’équipement est un Nexus 3000 ou 9000 sous NX-OS autonome. Cisco indique que les Nexus 9000 en mode ACI et les autres produits cités ne sont pas concernés par cet avis.^[1]

Étape 2

Vérifier NGOAM

Exécutez show feature | include ngoam. Si NGOAM est activé, le prérequis de configuration de CVE-2026-76485 est présent ; cette commande vérifie la configuration locale et ne teste pas une exploitation.^[1]

Étape 3

Délimiter l’exposition

La faille est décrite comme accessible par le réseau sans authentification, via du trafic IP forgé envoyé à une interface. Cisco ne publie ni détails de paquets ni séquence d’appels source ; n’inférez pas un parseur ou une disposition mémoire précise.^[1]

Étape 4

Choisir une mesure ou une mise à jour

Si NGOAM est inutile, Cisco indique que no feature ngoam supprime la voie d’attaque pour les trois failles, mais peut affecter le réseau. Sinon, utilisez Cisco Software Checker avec la plateforme et la version exactes, puis passez à la première version corrigée.^{[1], [2]}

Code Source : Vulnérable vs Sécurisé

Cisco recommande de désactiver NGOAM uniquement si cette fonctionnalité est inutile ; évaluez l’impact sur le service avant application. Cette commande est une mesure documentée par le fournisseur et ne remplace pas la version corrigée. Le panneau vulnérable représente une fonctionnalité activée, pas du code source.^[1]

Extrait source: État illustratif de la configuration opérateur ; pas le code source Cisco

IMPLÉMENTATION VULNÉRABLE

! Illustrative exposed configuration state, not vulnerable source code
feature ngoam
! Confirm status with: show feature | include ngoam

PATCH SÉCURISÉ ET ROBUSTE

! Only if NGOAM is not required and impact is approved
configure terminal
no feature ngoam
end
! Verify status with: show feature | include ngoam

Liste de Contrôle de Sécurité pour l'Ingénierie

✓Inventoriez les Nexus 3000/9000 et confirmez pour chacun le mode NX-OS autonome ou ACI.^[1]
✓Consignez show feature | include ngoam pour chaque équipement autonome ; ne déduisez pas l’exposition du seul nom de gamme.^[1]
✓Pour CVE-2026-76486, vérifiez séparément SRv6 ou NV Overlay et les conditions documentées VNI/NVE/peer appris ; pour CVE-2026-76501, vérifiez NGOAM et SRv6.^[1]
✓Utilisez Cisco Software Checker avec le produit, la plateforme et la version installée exacts pour trouver la première version corrigée ; ne réutilisez pas une version d’une autre branche.^[2]
✓Désactivez NGOAM avec no feature ngoam uniquement si la fonction est inutile et si le responsable réseau approuve l’impact.^[1]
✓Planifiez et vérifiez la mise à jour vers la version corrigée appropriée ; considérez les shields Live Protect comme temporaires.^[1]
✓Consultez les mises à jour du PSIRT Cisco sur l’exploitation ; l’avis du 7 octobre ne signalait aucune exploitation malveillante connue à sa publication.^[1]