Cisco NX-OS Schwachstellen: BSI warnt vor kritischen Lücken

Das BSI hat am 8. Oktober 2026 das Advisory WID-SEC-2026-3810 veröffentlicht und warnt darin vor mehreren Schwachstellen in Cisco Nexus und Cisco NX-OS. Als mögliche Auswirkungen nennt die Behörde das Ausführen beliebigen Codes, das Erlangen erweiterter Berechtigungen, das Umgehen von Sicherheitsmaßnahmen, das Offenlegen und Manipulieren von Daten sowie Denial-of-Service-Zustände. Konkrete CVE-Nummern, betroffene Versionen oder Patch-Verweise enthält der abgerufene Text der Meldung nicht.

Wer die Warnung einordnen will, landet zwangsläufig bei den Cisco-Advisories vom 7. Oktober 2026 — veröffentlicht einen Tag vor der BSI-Meldung. Auffällig ist, dass deren Inhalte genau die Bandbreite abdecken, die das BSI auflistet: Codeausführung und DoS auf der einen, Rechteausweitung, Datenabfluss und Umgehung von Schutzmechanismen auf der anderen Seite.

Cisco NX-OS Schwachstellen: Was die BSI-Warnung offenlässt

Die BSI-Meldung bleibt inhaltlich dünn. Sie beschreibt das Wirkungsspektrum, benennt aber weder Produktversionen noch CVE-IDs noch einen Patch-Status. Damit ist sie vor allem ein Weckruf, der die Detailarbeit dem Leser überlässt.

Die inhaltliche Deckung liefern zwei Cisco-Veröffentlichungen vom 7. Oktober 2026: ein Einzel-Advisory zu einer Remote-Code-Execution-Lücke in Nexus-Switches und eine gebündelte Security-Hardening-Release mit sechs CVE-IDs. Diese Zuordnung ist eine zeitliche und inhaltliche Ableitung der Recherche — belegt ist sie durch das BSI nicht. Für Betroffene ändert das nichts an der Prüfpflicht: Ob ein konkretes Gerät betroffen ist, lässt sich nur über die Cisco-Advisories klären.

CVE-2026-76465: Root-Code aus einem MPLS-Paket

Der schwerste Einzelfall ist laut Cisco Security Advisory die Schwachstelle CVE-2026-76465 (CWE-590) mit einem CVSS-Base-Score von 9.8 und dem Rating „Critical". Ein nicht authentifizierter, entfernter Angreifer kann demnach beliebigen Code mit Root-Rechten ausführen oder einen Denial-of-Service-Zustand herbeiführen. Ursache ist eine unzureichende Validierung bei der Verarbeitung eines MPLS echo-request-Pakets.

Betroffen sind die Nexus 3000 Series Switches und die Nexus 9000 Series Switches im Standalone-NX-OS-Modus, sofern das MPLS-OAM-Feature aktiviert ist. Cisco weist ausdrücklich darauf hin, dass dieses Feature standardmäßig deaktiviert ist — das reduziert das Risiko erheblich, ist aber kein Freifahrtschein für gewachsene Konfigurationen in Provider- und Rechenzentrumsnetzen. Workarounds gibt es nicht, als Mitigation bleibt nur das Deaktivieren des Features (no feature mpls oam).

Hardening-Release Oktober 2026: zwei Lücken mit CVSS 9.8

Deutlich breiter aufgestellt ist die Cisco NX-OS Software Security Hardening Release: October 2026. Sie bündelt sechs CVE-IDs: CVE-2026-76453 (8.8, CWE-707), CVE-2026-76455 (9.8, CWE-284), CVE-2026-76456 (8.6, CWE-20), CVE-2026-76457 (8.6, CWE-125), CVE-2026-76458 (8.6, CWE-703) und CVE-2026-76459 (9.8, CWE-787). Die Klassen reichen von Injection über Access-Control- und Input-Validation-Fehler bis zu Out-of-Bounds-Read und -Write.

Betroffen sind nach Herstellerangaben die MDS 9000 Series Multilayer Switches, Nexus 3000 Series Switches, Nexus 7000 Series Switches, Nexus 9000 Series Fabric Switches im ACI-Modus, Nexus 9000 Series Switches im Standalone-NX-OS-Modus, die UCS 6300/6400/6500/6600 Series Fabric Interconnects sowie der UCS X-Series Direct Fabric Interconnect 9108 100G. Für Nexus 3000/9000 im Standalone-Betrieb nennt Cisco als First Fixed Releases 10.3(10) für 10.3 und älter, 10.4(8), 10.5(6) und 10.6(4).

Die Lücken stammen laut Cisco aus einem internen Security-Review und sind nicht bekannt aktiv ausgenutzt. Workarounds gibt es keine — der einzige Weg führt über das Update. Dass ein Hersteller intern gefundene Fehler offenlegt, ist positiv, ändert aber nichts daran, dass zwei davon mit 9.8 bewertet sind.

CVE-2026-20212: zwei offene TCP-Ports auf Silicon-One-Hardware

Nicht Teil der Oktober-Welle, aber als Kontext wichtig, ist die bereits am 2. September 2026 veröffentlichte Silicon-One-Lücke CVE-2026-20212. Sie erreicht ebenfalls CVSS 9.8 (CWE-1327) und erlaubt unauthentifizierter Fernzugriff Codeausführung mit Root-Rechten auf Nexus 9000 Series Switches mit Silicon-One-ASIC. Ursache: Die TCP-Ports 43210 und 43211 sind im Default-L3-VRF erreichbar.

Anders als bei CVE-2026-76465 gibt es hier einen Workaround. Infrastructure ACLs, die TCP-Verkehr auf die Ports 43210 und 43211 verwerfen, sowie ein Live-Protect-Shield reduzieren die Angriffsfläche. Betroffene Produkt-IDs sind unter anderem N9324C-SE1U, N9348Y2C6D-SE1U, N9364E-SG2-O, N9364E-SG2-Q, N9396T12C-SE1, N9348Y12C-SE1, N9396Y12C-SE1, N9336C-SE1, N9K-C9804 und N9K-C9808.

Einordnung: Warum Nexus-Switches ein lohnendes Ziel sind

Nexus-Switches sitzen typischerweise im Rechenzentrums- und Campus-Core. Eine erfolgreiche Codeausführung mit Root-Rechten ist deshalb nicht nur ein Geräteproblem, sondern ein Infrastrukturproblem — mit potenziellem Zugriff auf den gesamten darüber laufenden Verkehr. Genau diese Rolle macht die Plattform für Angreifer interessant, und sie erklärt, warum Cisco NX-OS-Advisories regelmäßig gesammelt erscheinen. Die Cisco Event Response ERP-75740 belegt die Praxis der halbjährlich gebündelten Veröffentlichung jeweils am vierten Mittwoch im Februar und August. Die Advisory-Familie vom 7. Oktober fällt aus diesem Muster heraus — umso wichtiger, sie nicht zu übersehen.

Für Administratoren ergibt sich eine klare Reihenfolge: zuerst prüfen, ob MPLS-OAM überhaupt aktiv ist und ob Silicon-One-Hardware betroffen ist, dann die First-Fixed-Releases einplanen. Wer die Wartungsfenster kennt, weiß, dass NX-OS-Updates auf Core-Switches selten spontan passieren — die Planung sollte trotzdem jetzt beginnen, nicht erst nach einem Advisory-Update.

Fazit

Das BSI-Advisory WID-SEC-2026-3810 benennt keine CVE-IDs — es beschreibt nur das Wirkungsspektrum. Die technische Substanz liegt in den Cisco-Advisories vom 7. Oktober 2026, die zwei Lücken mit CVSS 9.8 und vier weitere Schwachstellen bündeln. Betroffen sind weite Teile des Nexus-, MDS- und UCS-Portfolios. Für CVE-2026-76465 und die Hardening-Release gibt es keine Workarounds, nur Patches; für CVE-2026-20212 wenigstens eine ACL-Mitigation. Angesichts der Position dieser Geräte im Netz sollte kein Betreiber auf die nächste gebündelte Veröffentlichung warten.

Quellen