Cisco Unified CM ほか音声製品の認証不備（CVSS 9.8・15SU5 で修正）

Critical（CVSS 9.8）に分類されるCisco Unified Communications Manager ほか（Release 15 は 15SU5 未満）の脆弱性です。**Cisco の音声・コラボレーション製品に、認証の不備（認証回避・セッション固定・なりすまし・リプレイ）にあたる複数の欠陥がある。** Cisco が2026年10月21日に公開した「Unified Communications Products Security Hardening Release」（cisco-sa-voice-hardening-twgbH9e3）で、社内レビューで見つかった CWE-287 系の問題をまとめて1つの CVE にしたもの。CVSS 3.1 はその中で最も高い **9.8 Critical**（Cisco 評価）。 **対象製品**は Emergency Responder、Prime Collaboration Deployment、Unified CM、Unified CM IM&P、Unified CM SME、Unity Connection で、Cisco は設定にかかわらず影響するとしている。個々の欠陥の詳細は公開されていない。 **悪用の状況。** Cisco PSIRT は公表や悪用を把握していないとしており、CISA KEV にも収載されていない（2026-10-22 時点）。同じアドバイザリで CVE-2026-76473 ほか計8件が公表されている。

**修正版へ上げる。** Release 15 は **15SU5** が最初の修正版。Release 14 は個別の修正版が示されておらず、Cisco は修正のある版（Release 15 の 15SU5 以降）への移行を求めている。 **回避策は無い**（Cisco が明記）。更新までは、管理画面や各サービスへの到達を信頼できるネットワークに限る運用が現実的な縮小策だが、これは公式の回避策ではない。 **完了条件**は、対象製品がすべて 15SU5 以降で動いていること。

Cisco Unified Communications Manager ほか（Release 15 は 15SU5 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-76474）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。