CVE-2026-76465: Root-Lücke in Cisco Nexus 3000 und 9000

Cisco hat am 7. Oktober 2026 seinen Oktober-Sicherheitsbatch veröffentlicht. Im Zentrum steht die Schwachstelle CVE-2026-76465 in NX-OS, die Nexus 3000 Series Switches und Nexus 9000 Series Switches im Standalone-Modus betrifft. Der CVSS-Base-Score liegt bei 9.8 — ein Wert, den Hersteller sonst eher für aus der Ferne ausnutzbare Lücken ohne jede Vorbedingung vergeben. Ein nicht authentisierter Angreifer kann damit beliebigen Code mit Root-Rechten ausführen oder eine DoS-Bedingung auslösen, die den Switch neu startet. Das Herstelleradvisory macht zugleich die Einschränkung deutlich: Ausnutzbar ist die Lücke nur, wenn MPLS OAM auf dem Gerät aktiviert ist.

CVE-2026-76465: Die Root-Lücke in Cisco Nexus 3000 und 9000

Cisco führt den Fehler unter der CWE-590 und der Bug-ID CSCwu19799. Auslöser ist eine fehlerhafte Validierung bei der Verarbeitung eines MPLS-Echo-Request-Pakets. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die Lage präzise: Zugriff über das Netzwerk, keine Vorkenntnisse, keine Komplexität, keine Nutzerinteraktion — und bei Erfolg vollständiger Verlust von Vertraulichkeit, Integrität und Verfügbarkeit. Root-Rechte auf einem Switch der Aggregations- oder Core-Ebene sind dabei mehr als ein kompromittiertes Einzelsystem. Wer dort sitzt, kontrolliert die Pfade, über die der übrige Datenverkehr läuft, und kann Konfigurationen ändern, ohne dass es sofort auffällt.

NX-API, NGOAM und MPLS OAM als Voraussetzung

Alle drei kritischen NX-OS-Lücken des Batches haben eine Gemeinsamkeit: Sie setzen eine aktivierte Funktion voraus. Bei CVE-2026-76465 ist das MPLS OAM, bei den weiteren Lücken sind es NX-API und NGOAM. Das klingt zunächst nach Entwarnung — ist es aber nur zur Hälfte. In Rechenzentren und Transportnetzen sind genau diese Funktionen oft bewusst eingeschaltet. Wer sie nicht nutzt, sollte das aktiv verifizieren statt es anzunehmen. Eine deutschsprachige Zusammenfassung der relevanten CVEs ordnet NX-API, NGOAM und MPLS OAM entsprechend als zentrale Voraussetzung ein. Für den NGOAM-Komplex nennt eine Analyse des Oktober-Batches ebenfalls CVSS 9.8; eine belastbare CVE-Nummer ist dort nicht durchgängig dokumentiert.

Keine Workarounds: Nur das NX-OS-Update bleibt

Für mehrere der geschlossenen Lücken nennt Cisco keine Workarounds. Die Aktualisierung der NX-OS-Software ist damit der einzige Weg, das Risiko zu beseitigen. Bei Netzwerk-Infrastruktur ist das ein wiederkehrendes Muster: Angriffsflächen wie MPLS OAM oder NX-API lassen sich selten abschalten, ohne die Funktion selbst zu verlieren, und ein sauberes Abklemmen per Filter greift hier nur begrenzt. Admins sollten deshalb zuerst prüfen, welche der betroffenen Features im eigenen Netz produktiv laufen. Das beeinflusst die Dringlichkeit, nicht aber die Notwendigkeit des Patches.

35 Lücken im Oktober-Batch: License On-Prem als zweiter Komplex

Der Oktober-Batch ist umfangreich: Er umfasst 35 Lücken, davon 14 in NX-OS. Neben den Switch-Schwachstellen steht ein zweiter, eigenständiger Komplex — Cisco License (Smart Software Manager) On-Prem. Die Publikationsübersicht von Cisco führt dazu ein separates Advisory. Die dort behandelte Hardening-Lücke wird mit einem maximalen CVSS-Wert von 10.0 geführt; dieser Wert ist bislang allerdings nur über die Batch-Analyse belegt und nicht am Herstelleradvisory verifiziert.

Abgrenzung zu CVE-2016-1329

Solche Meldungen werden schnell mit einem älteren Fall vermischt: 2016 schloss Cisco unter CVE-2016-1329 eine Lücke in Nexus 3000 und 3500 Platform Switches, bei der unsichere Standard-Zugangsdaten den Zugriff auf Root ermöglichten. Diese Schwachstelle gehört nicht zum Oktober-2026-Batch. Die Ähnlichkeit ist oberflächlich: Damals ging es um vergessene Default-Credentials, heute um fehlerhafte Paketvalidierung in einem Protokoll-Stack. Wer beides vermischt, bewertet das reale Risiko falsch. Aufgefallen ist der aktuelle Fall zunächst über eine Meldung zur kritischen Root-Lücke in Cisco-Switches.

Fazit: Funktion prüfen, dann patchen

Für Admins bleibt eine klare Reihenfolge. Zuerst feststellen, ob MPLS OAM, NX-API oder NGOAM auf den eigenen Nexus-Switches aktiv sind. Dann prüfen, ob der eigene Release-Zweig betroffen ist — konkrete betroffene NX-OS-Versionen und Upgrade-Pfade sind aus der aktuellen Recherche nicht belegt und vor dem Patch am Herstelleradvisory nachzuschlagen. Und schließlich zeitnah patchen. Bei CVSS 9.8, Root-Rechten als Folge und fehlenden Workarounds ist ein Aufschieben schwer zu begründen — zumal der Oktober-Batch zeigt, dass gleich mehrere NX-OS-Baustellen auf einmal geschlossen werden mussten.

Quellen