Cisco corrige 35 CVE en NX-OS, License On-Prem y Meraki, con fallas de hasta CVSS 10

Cisco PSIRT publicó el 7 de octubre doce avisos que reúnen 35 identificadores CVE para NX-OS, Application Policy Infrastructure Controller, Cisco License On-Prem, Meraki y Finesse. Ocho avisos tienen calificación crítica; los restantes son tres medios y uno alto.

Varias publicaciones de endurecimiento agrupan múltiples fallas internas bajo un CVE por clase CWE. Por ello, 35 es el número de identificadores divulgados y no necesariamente el número total de errores subyacentes corregidos. Cisco indica que algunas de estas revisiones combinaron pruebas tradicionales con modelos de IA de frontera.

CVE-2026-76471, con CVSS 9,8, permite enviar una solicitud HTTP manipulada a NX-API para ejecutar código con privilegios root o reiniciar el dispositivo. Afecta equipos Nexus 3000 y 9000 en modo NX-OS independiente y determinados Fabric Interconnect cuando NX-API está habilitada.

CVE-2026-76465 y el grupo CVE-2026-76485, CVE-2026-76486 y CVE-2026-76501 también alcanzan CVSS 9,8. Explotan validaciones insuficientes en MPLS OAM o NGOAM mediante paquetes preparados; requieren que las funciones correspondientes estén activas. Cisco publicó actualizaciones y escudos Live Protect temporales, pero considera la actualización la remediación definitiva.

Cisco License On-Prem concentra dos avisos críticos. El endurecimiento incluye CVE-2026-76482, una clase de verificación incorrecta de firmas con CVSS 10, junto con autenticación ausente, credenciales insuficientemente protegidas e inyección de código. Otro aviso corrige, entre otros problemas, el restablecimiento sin autenticación de contraseñas administrativas y la escritura arbitraria de archivos mediante la API.

Para cubrir ambos avisos de License On-Prem, la ruta segura es actualizar a 10-202609. En Meraki, siete CVE afectan gateways, puntos de acceso, switches, cámaras y appliances MX; las versiones corregidas dependen de cada rama y algunas están previstas para mediados de octubre, finales de octubre o noviembre.

Cisco no reporta explotación activa ni anuncios públicos para los avisos revisados. La combinación de acceso remoto sin autenticación, privilegios root y dispositivos de red críticos justifica priorizar la evaluación aunque todavía no exista evidencia de ataques.