Cisco publicó el 21 de octubre de 2026 un aviso sobre ocho vulnerabilidades que afectan a seis familias de comunicaciones, entre ellas Unified Communications Manager (Unified CM). INCIBE-CERT publicó la alerta INCIBE-2026-767 el 22 de octubre y clasificó tres vulnerabilidades como críticas y cinco como altas. Cisco indica 15SU5 para la versión 15; las instalaciones con la versión 14 deben migrar a una versión corregida.
Qué productos Cisco están afectados
El aviso incluye Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM & Presence Service (Unified CM IM&P), Unified CM Session Management Edition (Unified CM SME) y Unity Connection. Cisco indica que las vulnerabilidades afectan a estos productos con independencia de la configuración del dispositivo.
Qué indican las categorías CWE y las puntuaciones CVSS
Cisco asocia cada CVE con una categoría CWE, que identifica una clase de debilidad, y una puntuación CVSS. INCIBE-CERT clasifica los tres primeros identificadores como críticos y los cinco restantes como altos.
| CVE | Categoría CWE y clase de debilidad | CVSS máximo de la categoría | Severidad de INCIBE-CERT |
| CVE-2026-76473 | CWE-74: control inadecuado de un recurso durante su ciclo de vida | 9.8 | Crítica |
| CVE-2026-76474 | CWE-287: autenticación inadecuada | 9.8 | Crítica |
| CVE-2026-76475 | CWE-79: neutralización inadecuada de entradas al generar páginas web | 9.3 | Crítica |
| CVE-2026-76476 | CWE-20: validación inadecuada de entradas | 8.8 | Alta |
| CVE-2026-76477 | CWE-89: neutralización inadecuada de elementos especiales en una instrucción SQL | 8.8 | Alta |
| CVE-2026-76478 | CWE-284: control de acceso inadecuado | 8.8 | Alta |
| CVE-2026-76479 | CWE-22: limitación inadecuada de una ruta a un directorio restringido | 7.8 | Alta |
| CVE-2026-76481 | CWE-703: gestión inadecuada de condiciones excepcionales | 7.5 | Alta |
Cisco especifica que cada puntuación refleja la gravedad potencial máxima de la vulnerabilidad subyacente más grave dentro de su categoría CWE. Por tanto, el valor no describe por sí solo los detalles técnicos de cada fallo.
La corrección indicada para las versiones 15 y 14
Cisco identifica 15SU5 como la primera versión corregida para la rama 15. Las instalaciones con la versión 14 deben migrar a una versión corregida. Cisco indica que no hay soluciones alternativas para estas vulnerabilidades. La ruta figura en el aviso de seguridad de Cisco.
El aviso de PHP es independiente
Cisco publicó el 21 de octubre de 2026 un aviso separado sobre vulnerabilidades de PHP, con sus propios CVE y una lista de productos afectados. Los ocho CVE del aviso de Unified Communications no aparecen identificados como vulnerabilidades de PHP. El número de actualizaciones aplicables depende de qué productos estén instalados y figuren en cada aviso. Cisco detalla los productos y CVE del aviso separado sobre PHP.
Qué comunicaron Cisco e INCIBE-CERT sobre la explotación
Al publicar su aviso el 21 de octubre, el equipo de respuesta de seguridad de Cisco (PSIRT) dijo que no tenía conocimiento de anuncios públicos ni de uso malicioso. INCIBE-CERT indicó el 22 de octubre que no constaba explotación de estos CVE y advirtió que la situación podía cambiar.
Cisco también señaló que encontró las vulnerabilidades durante pruebas internas de seguridad que utilizaron procesos existentes y modelos de inteligencia artificial de vanguardia.
