CVE-2026-76485：Cisco Nexus NGOAM のリモートコード実行

CVE-2026-76485 は、NGOAM が有効なスタンドアロン NX-OS モードの Cisco Nexus 3000/9000 に影響します。機能の状態を確認し、無効化による影響を評価したうえで、Cisco Software Checker から機種とブランチに対応する修正版を確認してください。^{[1], [2]}

CVSS ベクトル

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

💡 わかりやすい解説 (ELI5)

スイッチの機能を、警備された建物にある追加のサービス用ドアだと考えてください。NGOAM が有効だと、Cisco の説明では、不正なネットワーク通信がそのドアを通って入力処理の欠陥に届く可能性があります。まずドアが開いているかを確認します。閉じるとネットワーク運用に影響する場合があるため、設計上不要で影響が承認された場合だけ無効にしてください。^[1]

主要な概念と専門用語

NGOAM: NGOAM（Next Generation OAM）：Nexus スイッチのネットワーク運用・保守機能。^[1]
スタンドアロン NX-OS: この勧告が対象とする NX-OS 動作モード。ACI モードの Nexus 9000 は対象外です。^[1]
最初の修正版: 選択した製品、機種、ブランチでこの勧告の問題を修正する最も早い Cisco リリース。^[2]

フレームワーク対応

このガイドで説明する弱点の CWE 参照： CWE-121

根本原因の分析 (Root Cause)

Cisco は CVE-2026-76485 を、スタンドアロン NX-OS モードの Cisco Nexus 3000/9000 で Next Generation OAM（NGOAM）が有効な際の IP トラフィック検証不備と説明しています。Cisco は IP インターフェースに送られる細工されたパケットを攻撃経路として示し、CVSS 3.1 9.8 Critical、CWE-121 と評価しています。攻撃に成功すると root 権限でコードを実行されたり、サービス拒否が発生したりする可能性があります。Cisco によると問題は社内セキュリティテストで発見され、2026-10-07 の勧告公開時点で PSIRT は公開情報や悪用を把握していませんでした。Cisco は脆弱なソースコードやパッチ差分を公開していません。以下は露出確認と条件付きの緩和策であり、コードの再現ではありません。同じ勧告には CVE-2026-76486 と CVE-2026-76501 も含まれますが、追加の SRv6 または NV Overlay 条件があります。それらの条件を CVE-2026-76485 に当てはめないでください。^[1]

CVE-2026-76485 の適用条件と修正

プラットフォーム / 状態	アドバイザリの説明	運用担当者の判断
Nexus 3000/9000、standalone NX-OS、NGOAM 有効	これが文書化された影響対象の構成です。	`show feature \| include ngoam` の出力を記録し、影響を評価して、この正確なプラットフォーム向けのバージョンへ更新する。
standalone NX-OS、NGOAM 無効	NGOAM の構成要件は満たされません。機能が不要な場合に限り、無効化は一時的な緩和策です。	機能の状態をソフトウェア修正とみなさない。運用への影響を評価し、適用されるアップグレードも計画する。
ACI モードの Nexus 9000	Cisco はこのモードが本アドバイザリの影響を受けないと確認しています。	モードを記録し、standalone NX-OS の影響説明を適用しない。
修正版の選択	アドバイザリに共通の NX-OS 修正版はありません。最初の修正版は製品、プラットフォーム、導入済みリリースによって異なります。	Cisco Software Checker で機器ごとの修正版を確認する。
関連する `CVE-2026-76486` / `CVE-2026-76501`	関連する脆弱性には SRv6 または NV Overlay の追加条件があります。	各 CVE を固有の機能条件で評価し、この行から影響を推定しない。

ステップ・バイ・ステップの攻撃フロー

ステップ 1

製品とモードを確認

対象がスタンドアロン NX-OS モードの Nexus 3000/9000 であることを確認します。Cisco は ACI モードの Nexus 9000 と他の記載製品は対象外としています。^[1]

ステップ 2

NGOAM の状態を確認

show feature | include ngoam を実行します。NGOAM が有効なら CVE-2026-76485 の構成上の前提を満たします。このコマンドはローカル設定の確認であり、攻撃テストではありません。^[1]

ステップ 3

露出範囲を特定

Cisco は、認証不要でネットワーク経由の細工された IP 通信がインターフェースに届く経路を説明しています。パケット詳細やソースコードの呼び出し順は公開されていないため、特定のパーサーやメモリ構造を推測しないでください。^[1]

ステップ 4

緩和策または更新を選択

NGOAM が不要なら、Cisco によると no feature ngoam で3件の攻撃経路を除去できますが、ネットワーク機能に影響する場合があります。必要な場合は Cisco Software Checker に正確な機種と稼働バージョンを入力し、最初の修正版へ更新します。^{[1], [2]}

ソースコード比較：脆弱 vs 堅牢化

Cisco は NGOAM が不要な場合に限って無効化を推奨しています。適用前にサービスへの影響を評価してください。このコマンドはベンダーの文書化した緩和策で、修正版の代替ではありません。脆弱側は機能が有効な状態を示し、ソースコードではありません。^[1]

ソース抜粋: 運用設定状態の例。Cisco のソースコードではありません

脆弱な実装

! Illustrative exposed configuration state, not vulnerable source code
feature ngoam
! Confirm status with: show feature | include ngoam

堅牢化されたセキュアパッチ

! Only if NGOAM is not required and impact is approved
configure terminal
no feature ngoam
end
! Verify status with: show feature | include ngoam

エンジニアリング＆システム堅牢化チェックリスト

✓Nexus 3000/9000 を棚卸しし、各機器のスタンドアロン NX-OS または ACI モードを確認する。^[1]
✓各スタンドアロン機器で show feature | include ngoam の結果を記録し、製品シリーズ名だけで露出を判断しない。^[1]
✓CVE-2026-76486 は SRv6 または NV Overlay と VNI/NVE/学習済み peer の条件を個別確認し、CVE-2026-76501 は NGOAM と SRv6 を確認する。^[1]
✓Cisco Software Checker に正確な製品、機種、稼働バージョンを入力し、最初の修正版を確認する。他ブランチの番号を流用しない。^[2]
✓機能が不要で、ネットワーク担当者が影響を承認した場合に限り no feature ngoam で無効化する。^[1]
✓適用対象の修正版への更新を計画・検証する。Cisco Live Protect shield は一時的な緩和策として扱う。^[1]
✓悪用状況について Cisco PSIRT の更新を確認する。10月7日の勧告公開時点では既知の悪用は報告されていない。^[1]