思科Nexus交换机曝9.8分NGOAM高危漏洞无登录Root

思科（Cisco）已于10月7日发布安全公告，确认其 Nexus 3000 与 9000 系列交换机中存在3个高危漏洞，CVSS 评分全部高达 9.8。攻击者无需账号登录，只要网络可达，就能远程执行代码拿到设备 root 权限，甚至触发进程崩溃、整机重启，直接中断网络业务。

这批漏洞的根源集中在本系列交换机的 NX-OS 系统中的 NGOAM（新一代运维管理功能）。问题出在设备对入站 IP 数据包的校验存在缺陷——一旦 NGOAM 功能开启，攻击者只需向交换机的 IP 接口发送特制数据包，即可完成利用。成功利用漏洞后，攻击者可获取操作系统 root 权限，完全接管交换机；同一条攻击链路还能发动拒绝服务攻击，导致进程宕机、交换机强制重载，进而瘫痪数据中心网络。可以看出，NGOAM 原本是为网络故障排查而设计的，包含 VXLAN 环路检测、SRv6 连通性检测等运维能力，但也正因为开启该功能，设备才暴露了这一攻击面。

三个 CVE 的触发条件差异

三个漏洞并非所有 Nexus 设备都会受影响，不同漏洞需要配置不同特性才会被触发。管理员需要对照固件版本和已启用功能逐一核查：

1. CVE-2026-76485：仅需开启 NGOAM 功能即可触发，利用门槛最低
2. CVE-2026-76486：要求 NGOAM 开启，同时启用 SRv6，或配置 VXLAN EVPN 虚拟网络（NVE 接口存在已学习到的隧道对等端点）
3. CVE-2026-76501：要求 NGOAM 与 SRv6 同时开启；Nexus 3000 本身不支持 SRv6，因此仅部分 Nexus 9000 机型具备该条件

不受影响的设备包括：运行 ACI 模式的 Nexus 9000、Nexus 7000 系列，以及 MDS 9000 多层交换机。

管理员核查命令（NX-OS）

以下命令可用于快速确认设备是否暴露在风险中：

# 查看 NGOAM 是否开启
show feature | include ngoam

# 查看 NVE/VXLAN overlay 状态
show feature | include nve

# 查看 SRv6 状态
show feature | include srv6

# 额外 Overlay 配置核验
show running-config | begin "interface nve"
show nve vni
show nve peers

处置方案建议

目前思科并未提供临时补丁，因此最直接的缓解手段就是关闭不需要的 NGOAM 功能，以消除攻击面。在全局配置模式下执行：

no feature ngoam

操作前务必评估对企业现有网络运维业务的影响，避免造成业务中断。另外，思科同步发布了 Live Protect 防护规则，但它只能作为临时缓解措施，不能替代固件升级。管理员还应使用 Cisco Software Checker 工具查询对应平台的安全修复版本，尽快安排 NX-OS 系统升级。

这里有必要区分一下：此前 Nexus 9000 系列还曾曝光过另一个 root 权限漏洞 CVE-2026-20212，涉及 Silicon One 芯片机型。但这两个漏洞的触发条件完全不同，管理员需要独立评估本次 NGOAM 漏洞风险，分开规划升级计划，不要混为一谈。

思科公告明确说明，这批漏洞是在内部安全测试中发现的，公告发布时尚未发现公开 POC 或野外在利用。但由于攻击门槛极低，建议政企、IDC、云厂商等使用相关交换机的单位立即开展资产排查。尤其是那些正运行着 Nexus 3000、9000系列交换机 并依赖 NX-OS 系统承载关键业务的场景，一旦攻击者通过该链路 远程执行代码获取设备root最高权限，整张网络的稳定性将面临直接冲击，排查动作刻不容缓。

资讯来源：CybersecurityNews