Cisco opublikowało 21 października 2026 r. poprawki do ośmiu grup podatności w sześciu rodzinach produktów Unified Communications. Dzień później INCIBE-CERT wydał alert INCIBE-2026-767, klasyfikując trzy podatności jako krytyczne, a pięć jako poważne.
Jakie produkty obejmuje komunikat Cisco?
Cisco wymienia Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM & Presence Service (Unified CM IM&P), Unified CM Session Management Edition (Unified CM SME) oraz Unity Connection. Według firmy podatności dotyczą tych produktów niezależnie od konfiguracji urządzenia.
Co oznaczają CVE, CWE i wyniki CVSS?
CVE to identyfikator podatności, CWE opisuje kategorię słabości, a CVSS służy do oceny jej dotkliwości. Cisco przypisało osiem identyfikatorów CVE do grup słabości CWE. Podane wyniki CVSS to maksymalna potencjalna dotkliwość najbardziej znaczącej podatności w danej kategorii CWE, a nie pełny opis techniczny każdego błędu.
| CVE | Kategoria CWE | Opis klasy słabości | Maksymalny CVSS dla kategorii | Poziom według INCIBE-CERT |
| CVE-2026-76473 | CWE-74 | Nieprawidłowa kontrola zasobu w trakcie jego cyklu życia | 9,8 | Krytyczny |
| CVE-2026-76474 | CWE-287 | Nieprawidłowe uwierzytelnianie | 9,8 | Krytyczny |
| CVE-2026-76475 | CWE-79 | Nieprawidłowe neutralizowanie danych wejściowych podczas generowania stron WWW | 9,3 | Krytyczny |
| CVE-2026-76476 | CWE-20 | Nieprawidłowa walidacja danych wejściowych | 8,8 | Wysoki |
| CVE-2026-76477 | CWE-89 | Nieprawidłowe neutralizowanie znaków specjalnych używanych w poleceniach SQL | 8,8 | Wysoki |
| CVE-2026-76478 | CWE-284 | Nieprawidłowa kontrola dostępu | 8,8 | Wysoki |
| CVE-2026-76479 | CWE-22 | Nieprawidłowe ograniczenie ścieżki do katalogu zastrzeżonego | 7,8 | Wysoki |
| CVE-2026-76481 | CWE-703 | Nieprawidłowa obsługa sytuacji wyjątkowych | 7,5 | Wysoki |
Cisco podało, że luki wykryto podczas wewnętrznych testów bezpieczeństwa, prowadzonych z użyciem istniejących procesów testowych oraz modeli AI najnowszej generacji.
Jakie poprawki Cisco wskazuje dla wersji 15 i 14?
Dla wersji 15 Cisco wskazuje wydanie 15SU5 jako pierwszą wersję z poprawką. Instalacje z wersją 14 wymagają migracji do poprawionego wydania. Cisco informuje, że nie ma obejść tych podatności. Szczegóły dotyczące objętych produktów i wydań zawiera komunikat bezpieczeństwa Cisco.
Czy osobny komunikat Cisco o PHP dotyczy tych samych podatności?
Nie. Cisco opublikowało odrębny komunikat dotyczący luk PHP, z własnymi identyfikatorami CVE i listą produktów. Nie jest to ten sam zestaw ośmiu grup CVE z komunikatu Unified Communications. Administratorzy powinni sprawdzić listy objętych produktów w komunikatach odnoszących się do używanych systemów.
Co podano o wykorzystaniu luk w chwili publikacji?
Cisco PSIRT informował 21 października 2026 r., że nie zna publicznych doniesień ani złośliwego wykorzystania opisanych podatności. W alercie z 22 października INCIBE-CERT oznaczył wszystkie osiem CVE jako niewykorzystywane; urząd zaznaczył, że ten status może się zmienić.
