思科于 2026 年 10 月 7 日发布 NX-OS 安全加固公告（cisco-sa-hardening-nxosw1-cWzSbtR）以及 NX-API 远程代码执行公告（cisco-sa-napi-rce-r2shwu2j），合计修复 7 个漏洞。其中 CVE-2026-76471 为 NX-API 功能的输入校验不足（CWE-122），CVSS 评分 9.8，未认证远程攻击者只需向受影响设备的 NX-API 发送特制 HTTP 请求，即可执行任意代码并获取 root 权限，还可能导致进程崩溃并重载设备形成拒绝服务。NX-API 是数据中心交换矩阵的编程管理入口，通常会为自动化运维而开放，暴露面不容忽视。
事件概述
CVE-2026-76471 影响 Cisco Nexus 3000 与 Nexus 9000 系列交换机（standalone NX-OS 模式），前提是启用了 NX-API 功能——该功能在两款交换机上默认关闭。它同时影响 UCS 6300 系列 Fabric Interconnect，这条路径经由默认启用的 UCS Manager XML API 触发，但需要有效的低权限凭据，因此官方把该平台的严重级别下调为 High。加固公告中的另外 6 个漏洞按 CWE 归类发布：CVE-2026-76453（命令与参数注入，8.8）、CVE-2026-76455（访问控制不当致认证绕过，9.8）、CVE-2026-76456（路径遍历，8.6）、CVE-2026-76457（越界读与信息泄露，8.6）、CVE-2026-76458（可达断言导致拒绝服务，8.6）、CVE-2026-76459（越界写入，9.8）。
技术细节
根因是 NX-API 对送入数据的格式与长度校验不足，攻击者可构造超出预期边界的请求触发内存破坏。越界写入类漏洞出现在交换机的控制平面，通常不止于崩溃，而具备升级为设备内代码执行的条件；认证绕过类漏洞则允许攻击者跳过权限判断直接操作管理面。思科表示全部漏洞均由内部安全审查发现，尚未观察到公开公告或恶意利用。
影响评估
NX-OS 承载的是数据中心交换矩阵与存储网络。Nexus 9000 或 MDS 9000 这类设备一旦被以 root 权限控制，攻击者可下发任意配置、改写路由与 ACL，甚至把交换机变成流量中转与嗅探节点，其影响远超普通业务系统。虽然两枚 9.8 分漏洞需要 NX-API 处于启用状态，但大量自动化运维环境正是为了这一功能而开启了它。由于官方明确没有缓解措施，唯一的修复路径是升级软件，这也意味着在升级窗口到来之前，风险只能靠网络隔离来控制。
修复建议
- 用
show feature | include nxapi确认 Nexus 3000/9000 是否启用了 NX-API，非必要立即关闭。 - 升级到修复版本：Nexus 3000/9000 standalone 为 10.3(10)、10.4(8)、10.5(6)、10.6(4)；MDS 9000 为 9.4(5a)；Nexus 7000 为 8.4(14)；ACI 模式为 16.0(9h)、16.1(6g)、16.2(3g)；UCS FI 为 4.3(6j)、6.0(2e)。
- 在完成升级前，可临时启用针对 CVE-2026-76471 的 Live Protect 盾牌作为过渡缓解。
- 限制 NX-API 与管理面仅从可信运维网段访问，并在边界封禁对设备管理端口的公网访问。