Cisco publiceerde op 21 oktober 2026 een beveiligingsadvies over acht CVE-groepen in zes families van communicatieproducten. INCIBE-CERT bracht op 22 oktober de bijbehorende waarschuwing INCIBE-2026-767 uit en classificeerde drie kwetsbaarheden als kritiek en vijf als hoog. Voor release 15 noemt Cisco 15SU5 als eerste gerepareerde release; installaties met release 14 moeten migreren naar een gerepareerde release.
Welke Cisco-producten vallen onder het advies?
Cisco noemt Emergency Responder, Prime Collaboration Deployment, Unified Communications Manager (Unified CM), Unified Communications Manager IM & Presence Service (Unified CM IM&P), Unified Communications Manager Session Management Edition (Unified CM SME) en Unity Connection. Volgens Cisco zijn de genoemde producten kwetsbaar, ongeacht de apparaatconfiguratie.
Wat vertellen de CVE-, CWE- en CVSS-gegevens?
Een CVE is een identificatiecode voor een kwetsbaarheid. CWE benoemt de categorie van de onderliggende zwakte; CVSS geeft de ernstscore weer. Cisco groepeerde de acht CVE’s per CWE-categorie. De vermelde CVSS-score is telkens het maximale potentiële niveau van de ernstigste onderliggende kwetsbaarheid binnen die categorie.
| CVE | CWE-categorie en zwakte | Maximale CVSS-score van de categorie | Ernst volgens INCIBE-CERT |
| CVE-2026-76473 | CWE-74: onjuiste beheersing van een resource gedurende de levenscyclus | 9,8 | Kritiek |
| CVE-2026-76474 | CWE-287: onjuiste authenticatie | 9,8 | Kritiek |
| CVE-2026-76475 | CWE-79: onvoldoende neutralisatie van invoer bij het genereren van webpagina’s | 9,3 | Kritiek |
| CVE-2026-76476 | CWE-20: onjuiste invoervalidatie | 8,8 | Hoog |
| CVE-2026-76477 | CWE-89: onvoldoende neutralisatie van speciale tekens in een SQL-opdracht | 8,8 | Hoog |
| CVE-2026-76478 | CWE-284: onjuiste toegangscontrole | 8,8 | Hoog |
| CVE-2026-76479 | CWE-22: onvoldoende beperking van een bestandspad tot een afgeschermde map | 7,8 | Hoog |
| CVE-2026-76481 | CWE-703: onjuiste afhandeling van uitzonderingssituaties | 7,5 | Hoog |
De scores geven dus geen afzonderlijke exploitbeschrijving per CVE. Voor CVE-2026-76474 noemt Cisco bij de categorie authenticatie onder meer omzeiling, sessievastlegging, spoofing en het opnieuw afspelen van onderschepte gegevens. Bij CWE-284 noemt het onder meer problemen met autorisatie, bevoegdheden en omzeiling van toegangscontroles.
Welke updates noemt Cisco voor release 15 en 14?
Voor release 15 is 15SU5 volgens Cisco de eerste gerepareerde release. Wie release 14 gebruikt, moet migreren naar een gerepareerde release. Cisco zegt dat er geen workarounds zijn. De beveiligingswaarschuwing van Cisco bevat de herstelroute en de betrokken productfamilies.
Het PHP-advies is een aparte melding
Cisco publiceerde in oktober 2026 ook een afzonderlijk advies over PHP-kwetsbaarheden in Cisco-producten, met eigen CVE’s en een eigen productlijst. Dat advies maakt geen deel uit van de acht CVE-groepen in het Unified Communications-advies. Beheerders kunnen per advies nagaan of hun geïnstalleerde producten in de bijbehorende lijst met kwetsbare producten staan.
Hoe Cisco de kwetsbaarheden vond en wat er bij publicatie bekend was
Cisco zegt dat interne beveiligingstests met bestaande testprocessen en frontier-AI-modellen de kwetsbaarheden aan het licht brachten. De verklaring beschrijft Cisco’s aanpak, zonder per kwetsbaarheid aan te geven welke rol de AI-modellen speelden.
Cisco PSIRT meldde bij publicatie op 21 oktober geen kennis te hebben van openbare aankondigingen of kwaadwillig gebruik van de kwetsbaarheden. INCIBE-CERT noteerde op 22 oktober bij alle acht CVE’s ‘Nee’ voor exploitatie en vermeldde dat die status na publicatie kon veranderen.
