Cisco Unified Communications Products: Unzureichende Eingabevalidierung
Zusammenfassung
Mehrere Cisco-Produkte für Unified Communications, darunter Unified CM, Unified CM IM and Presence, Unity Connection und Emergency Responder, sind von einer Schwachstelle durch unzureichende Eingabevalidierung (CWE-20) betroffen. Cisco beschreibt die konkrete Schwachstelle öffentlich nicht. Der CVSS-3.1-Wert von 8.8 deutet darauf hin, dass ein Angreifer mit niedrigen Privilegien remote über das Netzwerk ohne Benutzerinteraktion ausnutzen kann, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Laut Cisco sind die Produkte unabhängig von der Gerätekonfiguration betroffen.
Betroffen
- Cisco Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM and Presence Service, Unified CM SME und Unity Connection
- Builds der Releases 14 und 15 gemäss Cisco-Advisory (vollständige Build-Liste hier nicht wiedergegeben)
Behoben in
- Release 15: behoben in 15SU5
- Release 14: Migration auf ein behobenes Release gemäss Cisco-Advisory
Umgehung
- Laut Cisco nicht verfügbar.
Ausnutzung
- Das Cisco PSIRT kennt keine öffentlichen Ankündigungen oder böswillige Nutzung.
- Cisco gibt an, die Schwachstelle sei während interner Tests gefunden worden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle Cisco-Server für Unified Communications mit Release und SU-Stand inventarisieren.
- Systeme mit Release 15 auf 15SU5 aktualisieren und die Migration weg von Release 14 planen.
- Zugriff auf die Administrationsoberflächen auf Management-Netze beschränken und Administratorkonten überprüfen.
- Das Cisco-Advisory auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Cisco Security Advisory cisco-sa-voice-hardening-twgbH9e3 sec.cloudapps.cisco.com
- Cisco Security Advisory (cisco.com copy) www.cisco.com
- OpenCVE CVE-2026-76476 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.