Cisco veröffentlichte am 21. Oktober 2026 einen Sicherheitshinweis zu acht CVE-Gruppierungen in sechs Produktfamilien für Unified Communications. INCIBE-CERT veröffentlichte am 22. Oktober die dazugehörige Warnung INCIBE-2026-767. Für Release 15 nennt Cisco 15SU5 als ersten korrigierten Stand; Installationen mit Release 14 müssen auf ein korrigiertes Release migrieren.
Diese Cisco-Kommunikationssysteme sind betroffen
Cisco führt Cisco Emergency Responder, Cisco Prime Collaboration Deployment, Unified CM, Unified CM IM & Presence Service, Unified CM Session Management Edition und Cisco Unity Connection auf. Laut Cisco sind die Produkte unabhängig von der Gerätekonfiguration betroffen.
CVE, CWE und CVSS richtig einordnen
Eine CVE-ID bezeichnet eine konkrete Schwachstelle. CWE ordnet Schwächen nach ihrer Art ein; CVSS bewertet deren Schwere. Cisco nennt für die acht CVE-Gruppierungen die folgenden CWE-Kategorien und CVSS-Höchstwerte. INCIBE-CERT stuft drei als kritisch und fünf als hoch ein.
| CVE | CWE-Kategorie | CVSS-Höchstwert der CWE-Klasse | Einstufung durch INCIBE-CERT |
| CVE-2026-76473 | CWE-74, fehlerhafte Kontrolle einer Ressource über ihren Lebenszyklus hinweg | 9.8 | Kritisch |
| CVE-2026-76474 | CWE-287, fehlerhafte Authentifizierung | 9.8 | Kritisch |
| CVE-2026-76475 | CWE-79, unzureichende Neutralisierung von Eingaben bei der Erzeugung von Webseiten | 9.3 | Kritisch |
| CVE-2026-76476 | CWE-20, fehlerhafte Eingabevalidierung | 8.8 | Hoch |
| CVE-2026-76477 | CWE-89, unzureichende Neutralisierung besonderer Elemente in SQL-Befehlen | 8.8 | Hoch |
| CVE-2026-76478 | CWE-284, fehlerhafte Zugriffskontrolle | 8.8 | Hoch |
| CVE-2026-76479 | CWE-22, unzureichende Begrenzung eines Pfadnamens auf ein eingeschränktes Verzeichnis | 7.8 | Hoch |
| CVE-2026-76481 | CWE-703, fehlerhafte Behandlung außergewöhnlicher Bedingungen | 7.5 | Hoch |
Cisco ordnet jeden CVSS-Wert als den höchsten möglichen Wert für die schwerwiegendste zugrunde liegende Schwachstelle innerhalb der jeweiligen CWE-Kategorie ein. Die Werte sind daher keine vollständige technische Beschreibung jedes einzelnen Fehlers.
Cisco erklärte, die Schwachstellen seien bei internen Sicherheitstests entdeckt worden, die bestehende Prüfverfahren und Frontier-KI-Modelle nutzten.
Welche Korrektur Cisco nennt
Für Release 15 ist 15SU5 laut Cisco der erste korrigierte Stand. Betreiber von Release 14 müssen auf ein korrigiertes Release migrieren. Cisco gibt an, dass es für diese Schwachstellen keine Workarounds gibt. Die Versionshinweise stehen im Cisco-Advisory zur Sicherheitskorrektur.
Das PHP-Advisory ist separat
Cisco veröffentlichte im Oktober 2026 ein eigenes Advisory zu PHP-Schwachstellen mit eigenen CVEs und einer eigenen Produktliste. Es führt die acht CVEs aus dem Unified-Communications-Sicherheitshinweis nicht als PHP-Schwachstellen auf. Für die Patchplanung müssen Administratoren die installierten Produkte mit den betroffenen Produktlisten der jeweiligen Hinweise abgleichen. Das separate Cisco-Advisory zu PHP-Schwachstellen enthält die dazugehörigen Angaben.
Was zum Ausnutzungsstatus veröffentlicht wurde
Cisco PSIRT erklärte bei Veröffentlichung des Cisco-Advisory am 21. Oktober 2026, dem Team seien keine öffentlichen Meldungen oder böswilligen Nutzungen bekannt. INCIBE-CERT vermerkte am 22. Oktober für alle acht CVEs keine bekannte Ausnutzung und wies darauf hin, dass sich dieser Status ändern kann. Die INCIBE-CERT-Warnung INCIBE-2026-767 enthält diese Einstufung.
