Cisco pubblicò il 21 ottobre 2026 un avviso di sicurezza per otto gruppi CVE in sei famiglie di prodotti Unified Communications. Il giorno successivo INCIBE-CERT diffuse l’allerta INCIBE-2026-767. Cisco indica la release 15SU5 come corretta per la versione 15 e, per la versione 14, la migrazione a una release corretta; dichiara inoltre che non ci sono soluzioni alternative.
I prodotti Cisco interessati
L’avviso riguarda Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM & Presence Service, Unified CM Session Management Edition e Unity Connection. Cisco dichiara che le vulnerabilità interessano i prodotti elencati indipendentemente dalla configurazione del dispositivo.
CVE, CWE e punteggi CVSS
Un CVE identifica una vulnerabilità, mentre CWE ne classifica il tipo di debolezza. CVSS è il sistema che assegna un punteggio alla gravità. Cisco associa a ciascun gruppo CVE una categoria CWE e un punteggio CVSS massimo; INCIBE-CERT classifica tre vulnerabilità come critiche e cinque come ad alta gravità.
| CVE | Categoria CWE e tipo di debolezza | CVSS massimo della categoria | Gravità secondo INCIBE-CERT |
| CVE-2026-76473 | CWE-74, controllo improprio di una risorsa durante il suo ciclo di vita | 9,8 | Critica |
| CVE-2026-76474 | CWE-287, autenticazione impropria | 9,8 | Critica |
| CVE-2026-76475 | CWE-79, neutralizzazione impropria dell’input nella generazione di pagine web | 9,3 | Critica |
| CVE-2026-76476 | CWE-20, convalida impropria dell’input | 8,8 | Alta |
| CVE-2026-76477 | CWE-89, neutralizzazione impropria di elementi speciali in un comando SQL | 8,8 | Alta |
| CVE-2026-76478 | CWE-284, controllo degli accessi improprio | 8,8 | Alta |
| CVE-2026-76479 | CWE-22, limitazione impropria dei percorsi a una directory riservata | 7,8 | Alta |
| CVE-2026-76481 | CWE-703, gestione impropria delle condizioni eccezionali | 7,5 | Alta |
I punteggi indicano il massimo potenziale della vulnerabilità sottostante più grave nella rispettiva categoria CWE. Non descrivono in dettaglio ciascun difetto associato al gruppo CVE.
Quale correzione indica Cisco
Per la versione 15, Cisco indica 15SU5 come prima release corretta. Chi usa la versione 14 deve migrare a una release corretta. Cisco dichiara che non esistono workaround per queste vulnerabilità. Le indicazioni sono nell’avviso di sicurezza Cisco.
L’avviso sulle vulnerabilità PHP pubblicato da Cisco nell’ottobre 2026 è separato: ha identificativi CVE e un elenco di prodotti propri. Non include gli otto CVE dell’avviso Unified Communications come vulnerabilità PHP. Per valutare quali aggiornamenti riguardano una specifica installazione, occorre confrontare i prodotti presenti con quelli elencati nei rispettivi avvisi. Cisco ha pubblicato anche un avviso separato sulle vulnerabilità PHP.
Scoperta e stato di sfruttamento
Cisco afferma che le vulnerabilità sono emerse da test di sicurezza interni condotti con processi esistenti e modelli di IA di frontiera. Alla pubblicazione del 21 ottobre, il Cisco Product Security Incident Response Team (PSIRT) dichiarò di non essere a conoscenza di annunci pubblici o di usi malevoli. Nell’allerta del 22 ottobre, INCIBE-CERT indicò che nessuno degli otto CVE risultava sfruttato e precisò che lo stato poteva cambiare.
