Cisco NX-OS の NGOAM に欠陥、未認証で root のコード実行（CVSS 9.8）

Critical（CVSS 9.8）に分類されるCisco Nexus 3000 / 9000 シリーズ（スタンドアロン NX-OS モード・NGOAM 有効時）の脆弱性です。Cisco NX-OS の VXLAN 向け運用保守機能 **NGOAM**（Operation, Administration, and Maintenance）に入力検証の欠陥があり、**未認証のリモート攻撃者が細工した IP パケットを装置のインターフェイスに送るだけで、root 権限で任意のコードを実行**するか、プロセスのクラッシュによる再起動（DoS）を起こせる。対象はスタンドアロン NX-OS モードの Nexus 3000 / 9000 シリーズで、条件は **NGOAM が有効なこと**だけ。 CVSS 3.1 は Cisco（CNA）の評価で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。NVD は 2026年10月7日公開で、vulnStatus は Received。 Cisco のアドバイザリ cisco-sa-ngoam-rce-LWKQ4BU（2026年10月7日公開）は同種の3件をまとめており、ほかに CVE-2026-76486（NGOAM に加えて SRv6 または NV Overlay＋EVPN の VTEP ピアがある場合）と CVE-2026-76501（NGOAM と SRv6 が両方有効な場合）がある。いずれも CVSS 9.8。Nexus 7000、ACI モードの Nexus 9000、MDS 9000、Firepower / Secure Firewall、UCS Fabric Interconnect は対象外。Cisco の社内テストで見つかったもので、Cisco PSIRT は公表や悪用を把握していないとしている。2026年10月8日時点で CISA KEV には収載されていない。

**修正版の NX-OS へ更新する。** アドバイザリは具体的な修正版の番号を本文に載せておらず、**Cisco Software Checker** に現在の版と機種を入れて First Fixed / Combined First Fixed の版を確認するよう案内している（このサイトでは版番号を断定しない。公式で要確認）。 **更新までの緩和策。** Cisco は「回避策は無い」としたうえで、NGOAM が不要なら設定モードで `no feature ngoam` を実行して無効化すれば攻撃経路がなくなる（3件すべてに有効）としている。また3件すべてに一時的な緩和策として Live Protect のシールドを提供しているが、更新の代わりにはならないと明記している。 **影響を受けるかの確認**は `show feature | include ngoam` で NGOAM が有効かを見る。CVE-2026-76486 / 76501 の条件は `show feature | include nve`、`show feature | include srv6`、`show nve vni`、`show nve peers` で確認する（Nexus 3000 は SRv6 非対応）。 **完了条件**は、（1）NGOAM が有効な全 Nexus 3000 / 9000 が Software Checker の示す修正版以上であること、（2）更新できない装置では NGOAM を無効化しているか Live Protect のシールドを適用していること、の2点である。

Cisco Nexus 3000 / 9000 シリーズ（スタンドアロン NX-OS モード・NGOAM 有効時） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-76485）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。