Le 21 octobre 2026, Cisco a publié un avis couvrant huit vulnérabilités réparties entre six familles de produits de communications, dont Unified CM. Le lendemain, INCIBE-CERT a publié l’alerte INCIBE-2026-767 et classé trois vulnérabilités comme critiques et cinq comme élevées. Cisco indique 15SU5 pour la version 15 et une migration vers une version corrigée pour la version 14.
Les produits de communication concernés
Cisco cite Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM & Presence Service, Unified CM Session Management Edition et Unity Connection. Selon l’avis, les produits concernés sont vulnérables quelle que soit la configuration de l’appareil.
Les huit CVE et leurs catégories CWE
Un CVE est un identifiant de vulnérabilité. CWE désigne sa catégorie de faiblesse, tandis que CVSS sert à évaluer sa gravité potentielle. Cisco associe à chaque CVE une catégorie CWE et un score CVSS maximal; INCIBE-CERT classe les trois premières vulnérabilités comme critiques et les cinq autres comme élevées.
| CVE | Catégorie CWE | Score CVSS maximal | Gravité selon INCIBE-CERT |
| CVE-2026-76473 | CWE-74 : contrôle incorrect d’une ressource au cours de son cycle de vie | 9,8 | Critique |
| CVE-2026-76474 | CWE-287 : authentification incorrecte | 9,8 | Critique |
| CVE-2026-76475 | CWE-79 : neutralisation incorrecte des entrées lors de la génération de pages web | 9,3 | Critique |
| CVE-2026-76476 | CWE-20 : validation incorrecte des entrées | 8,8 | Élevée |
| CVE-2026-76477 | CWE-89 : neutralisation incorrecte d’éléments spéciaux dans une commande SQL | 8,8 | Élevée |
| CVE-2026-76478 | CWE-284 : contrôle d’accès incorrect | 8,8 | Élevée |
| CVE-2026-76479 | CWE-22 : limitation incorrecte d’un chemin à un répertoire restreint | 7,8 | Élevée |
| CVE-2026-76481 | CWE-703 : gestion incorrecte des conditions exceptionnelles | 7,5 | Élevée |
Pour chaque catégorie CWE, Cisco présente le score comme le maximum potentiel de la vulnérabilité sous-jacente la plus grave. Le chiffre caractérise donc la catégorie concernée.
Cisco indique que ses tests de sécurité internes, menés avec ses processus existants et des modèles d’IA de pointe, ont permis de découvrir les vulnérabilités.
Les versions corrigées indiquées par Cisco
Pour la version 15, Cisco désigne 15SU5 comme première version corrigée. Les installations en version 14 doivent migrer vers une version corrigée. Cisco indique qu’il n’existe aucune solution de contournement. L’avis de sécurité Cisco précise ces consignes.
L’avis PHP de Cisco est distinct
Cisco a publié le 21 octobre 2026 un avis séparé concernant des vulnérabilités PHP affectant ses produits, avec ses propres CVE et sa propre liste de produits. Les huit CVE de l’avis Unified Communications n’y sont pas présentées comme des vulnérabilités PHP. Pour déterminer les mises à jour applicables, les administrateurs doivent comparer les produits installés aux listes de produits concernés dans chaque avis. Cisco présente ces informations dans son avis PHP d’octobre 2026.
Ce qui était connu sur l’exploitation à la publication
Lors de la publication de son avis, le 21 octobre, Cisco PSIRT indiquait ne pas avoir connaissance d’annonces publiques ni d’utilisation malveillante. Dans son alerte du 22 octobre, INCIBE-CERT ne recensait pas d’exploitation pour ces CVE et précisait que ce statut pouvait évoluer.
