A Cisco publicou em 21 de outubro de 2026 correções para oito vulnerabilidades em seis famílias de produtos de comunicação. O aviso inclui o Unified CM e outras soluções Cisco Unified Communications; para a versão 15, a correção indicada é a 15SU5. Instalações na versão 14 devem migrar para uma versão corrigida. No dia seguinte, o INCIBE-CERT publicou um alerta sobre as mesmas falhas.
Produtos Cisco abrangidos
O aviso da Cisco lista seis famílias afetadas, independentemente da configuração do dispositivo: Cisco Emergency Responder, Cisco Prime Collaboration Deployment, Cisco Unified Communications Manager (Unified CM), Cisco Unified Communications Manager IM & Presence Service (Unified CM IM&P), Cisco Unified Communications Manager Session Management Edition (Unified CM SME) e Cisco Unity Connection.
O alcance descrito inclui o Unified CM, mas também outros componentes de comunicações. Por isso, a lista de produtos é relevante para identificar quais sistemas podem estar abrangidos pelo aviso.
O que os CVE, CWE e CVSS indicam
CVE é o identificador de uma vulnerabilidade; CWE classifica a categoria de fraqueza; CVSS expressa a gravidade potencial. A Cisco agrupou os oito CVEs por categoria CWE. Em cada linha, o CVSS é a pontuação máxima potencial da vulnerabilidade subjacente mais impactante naquela categoria.
| CVE | Categoria CWE | CVSS máximo da categoria | Gravidade no alerta do INCIBE-CERT |
| CVE-2026-76473 | CWE-74, controle inadequado de um recurso ao longo de seu ciclo de vida | 9,8 | Crítica |
| CVE-2026-76474 | CWE-287, autenticação inadequada | 9,8 | Crítica |
| CVE-2026-76475 | CWE-79, neutralização inadequada de entradas durante a geração de páginas web | 9,3 | Crítica |
| CVE-2026-76476 | CWE-20, validação inadequada de entradas | 8,8 | Alta |
| CVE-2026-76477 | CWE-89, neutralização inadequada de elementos especiais em comandos SQL | 8,8 | Alta |
| CVE-2026-76478 | CWE-284, controle de acesso inadequado | 8,8 | Alta |
| CVE-2026-76479 | CWE-22, limitação inadequada de caminhos a um diretório restrito | 7,8 | Alta |
| CVE-2026-76481 | CWE-703, tratamento inadequado de condições excepcionais | 7,5 | Alta |
O INCIBE-CERT classificou três vulnerabilidades como críticas e cinco como altas. As categorias e pontuações organizam os problemas por tipo de fraqueza, mas não descrevem em detalhe o mecanismo de cada falha subjacente.
A Cisco afirmou que encontrou as vulnerabilidades em testes internos de segurança que usaram processos de teste existentes e modelos de IA de ponta.
Correção para as versões 15 e 14
A Cisco indicou a versão 15SU5 como a primeira versão corrigida para a linha 15. Instalações na versão 14 devem migrar para uma versão corrigida. A empresa informou que não há soluções alternativas para essas vulnerabilidades. As instruções estão no aviso de segurança da Cisco.
O alerta PHP é separado
A Cisco publicou um aviso separado sobre vulnerabilidades do PHP que afetam produtos Cisco, com seus próprios CVEs e lista de produtos. Esse comunicado não identifica os oito CVEs do alerta de Unified Communications como falhas de PHP. Para avaliar quais atualizações se aplicam a uma instalação, é necessário comparar os produtos usados com as listas de cada aviso, incluindo o comunicado separado sobre PHP.
O que foi informado sobre exploração
Quando publicou o aviso em 21 de outubro, a Cisco PSIRT disse não ter conhecimento de anúncios públicos ou uso malicioso das vulnerabilidades. No alerta de 22 de outubro, o INCIBE-CERT não indicava exploração para os oito CVEs e informou que esse status podia mudar.
