Cisco hat eine Lücke in der NX-API von NX-OS gemeldet. Angreifer ohne Anmeldung können per HTTP-Anfrage Code mit Root-Rechten ausführen oder das Gerät zum Absturz bringen. Es gibt keine Workarounds, aber Updates und einen temporären Live-Protect-Schutz. Admins prüfen zuerst, ob die NX-API aktiv ist.
Eine präparierte HTTP-Anfrage genügt, um bei Cisco NX-OS Root-Rechte zu erlangen (CVE-2026-76471). Betroffen ist die NX-API. Für Admins zählt jetzt, ob dieses Feature auf ihren Geräten läuft.
Das Wichtigste in Kürze
- Angreifer brauchen keine Anmeldung. Eine manipulierte HTTP-Anfrage an die NX-API kann Code mit Root-Rechten ausführen.
- Ein Absturz ist ebenfalls möglich. Prozesse können ausfallen, das Gerät startet neu und der Betrieb steht still.
- Es gibt keine Workarounds. Cisco bietet korrigierte Software und als Übergang einen Live-Protect-Schutz.
- Ein Befehl zeigt den Status. Bei Nexus 3000 und 9000 ist die Schnittstelle standardmässig aus.
Was Cisco zur Lücke in NX-OS meldet
Cisco hat die Lücke in einem Security Advisory beschrieben. Es gehört zu einer Gruppe von Meldungen, die Cisco für den 7. Oktober 2026 angekündigt hat. Wann genau Cisco das Advisory zuletzt aktualisiert hat, geht aus der vorliegenden Quelle nicht hervor. Die Details stehen im Cisco Security Advisory.
Die Ursache ist eine zu schwache Prüfung von Eingaben. Die Schnittstelle nimmt Daten an und prüft sie nicht genug. Ein Angreifer schickt eine präparierte HTTP-Anfrage an ein verwundbares Gerät. Er braucht dafür kein Konto.
Die Folgen sind ernst. Der Angreifer kann Code mit Root-Rechten ausführen. Er kann auch Prozesse zum Absturz bringen. Das Gerät lädt dann neu und fällt vorübergehend aus. Cisco spricht von einem Denial-of-Service-Zustand.
Welche Geräte mit Cisco NX-OS betroffen sind
Betroffen sind Cisco-Produkte mit einem verwundbaren NX-OS-Stand, sofern die NX-API aktiv ist. Welche Releases genau gelten, listet der Abschnitt „Fixed Software“ im Advisory. Die vorliegende Quelle nennt sie nicht.
Bei den Nexus 3000 und 9000 ist die Schnittstelle standardmässig ausgeschaltet. Das senkt das Risiko, solange niemand sie aktiviert hat. Anders sieht es bei den UCS 6300 Fabric Interconnects aus:
- Der Angriff läuft dort über die XML-API von Cisco UCS Manager.
- Diese API ist standardmässig aktiv und lässt sich ohne Funktionsverlust nicht abschalten.
- Ein Angreifer braucht gültige Zugangsdaten mit niedrigen Rechten.
- Wegen dieser Hürde stuft Cisco die Schwere dort auf „High“ herunter.
So prüfst du den Status
Auf einem Nexus 3000 oder 9000 prüfst du den Status in der NX-OS-Konsole mit show feature | include nxapi. Die Ausgabe „nxapi 1 enabled“ bestätigt ein aktives Feature. Dann gilt das Gerät als gefährdet, sofern sein Softwarestand verwundbar ist.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| CVE-Nummer | CVE-2026-76471 | Kennung für Meldungen und Patch-Tracking |
| Angriffsweg | Präparierte HTTP-Anfrage | Kein Konto nötig, ausser bei UCS 6300 |
| Folgen | Root-Code oder Neustart | Übernahme des Geräts oder Ausfall |
| Schnittstelle bei Nexus 3000/9000 | Standardmässig aus | Nur aktive Geräte sind gefährdet |
| Workarounds | Keine | Nur Patch oder temporärer Schutz |
Patch und temporärer Schutz
Die saubere Lösung ist der Wechsel auf korrigierte Software. Cisco hat sie bereits veröffentlicht. Das passende Release findest du im Advisory und im Bereich Cisco Support and Downloads.
Zudem bietet Cisco einen Live-Protect-Schutz für CVE-2026-76471 an. Er ist ein temporärer Schutz für NX-OS. Du findest ihn als Live Protect shield. Die Einrichtung beschreibt der Security Configuration Guide für Nexus 9000.
Dabei gilt: Cisco versteht den Schutz als Brücke. Er überbrückt die Zeit, bis du den Patch einplanen kannst. Er ersetzt die Korrektur nicht.
Einordnung: Was das für Admins in der Schweiz heisst
Admins mit Nexus-Switches oder UCS 6300 sollten ihre Geräte jetzt prüfen. Bei Nexus 3000 und 9000 zeigt ein Befehl, ob die Schnittstelle läuft. Bei UCS 6300 lässt sich die betroffene API nicht abschalten, daher ist dort der Patch der klare Weg. Wo eine Korrektur nicht sofort möglich ist, kann der Live-Protect-Schutz die Zeit überbrücken. Ein fester Stichtag steht in der Quelle nicht. Weil Cisco die Meldung am 7. Oktober 2026 veröffentlicht hat, ist die Frist faktisch bereits angebrochen. Kosten nennt die Quelle nicht.
Fazit
Du weisst jetzt, wie die Lücke wirkt und welche Geräte gefährdet sind. Prüfe als Nächstes den Status der Schnittstelle auf allen Nexus-Switches. Lies dann im Advisory den Abschnitt zur korrigierten Software und plane den Patch. Bis dahin hilft der Live-Protect-Schutz.
Quellen: Cisco Security Advisories. Foto: jarmoluk / Pixabay. Stand: 18. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.