Angripere utnytter aktivt en kritisk sårbarhet i Sangoma Switchvox for å kjøre kommandoer og installere reverse shells på eksponerte telefonsystemer for bedrifter. Sårbarheten, som spores som CVE-2026-9586, påvirker VoIP-plattformen for bedrifter og krever ingen autentisering.
Sikkerhetsforskere hos Horizon3 observerte angrep mot flere honeypots 30. august. De advarer om at angripere allerede kan ha rettet angrep mot, eller snart vil angripe, de fleste internettilkoblede Switchvox-systemer.
Uautentisert SQL-injeksjon fører til kodekjøring
Sårbarheten i Sangoma Switchvox er en SQL-injeksjonssårbarhet i plattformens eksponerte HTTP-endepunkt /pa. Switchvox bruker dette endepunktet til å håndtere XML-meldinger knyttet til hendelser i telefonsystemet.
Forskerne fant at endepunktet henter PhoneIP-verdien fra innkommende XML og legger den direkte til i en SQL-spørring uten å bruke sikker parameterisering.
En angriper kan sende en spesiallaget forespørsel for å utnytte sårbarheten eksternt. Vellykket utnyttelse gjør det mulig for angriperen å kjøre operativsystemkommandoer på det berørte Switchvox-systemet.
Denne tilgangen kan føre til et reverse shell, som gir angriperen en vedvarende ekstern tilkobling til enheten.
Angripere retter seg mot internettilkoblede telefonsystemer
Horizon3 rapporterte problemet til Sangoma 10. april som en del av en gruppe på 12 sikkerhetssårbarheter. CVE-2026-9586 var det mest alvorlige problemet i rapporten.
Sangoma lanserte en rettelse i Switchvox versjon 8.4.0.2 den 14. juli. Forskerne observerte imidlertid senere at angripere utnyttet sårbarheten i faktiske angrep.
Under de observerte angrepene rettet én IP-adresse angrep mot flere honeypot-systemer i rask rekkefølge. Angriperen forsøkte å etablere reverse shells, samle inn en liste over de mest aktive prosessene og sende resultatene til en ekstern server i Base64-kodet form.
Horizon3 opplyste at data fra internettskanning viste rundt 4 000 eksponerte Switchvox-enheter, hvorav de fleste befant seg i USA.
Administratorer bør oppdatere Switchvox nå
Systemadministratorer bør oppdatere til Switchvox versjon 8.4.0.2 eller nyere uten forsinkelse. Den aktive utnyttelsen av sårbarheten i Sangoma Switchvox betyr at systemer som ikke er oppdatert, står overfor en umiddelbar risiko.
Administratorer bør også undersøke systemene for tegn på forsøk på eller vellykket kompromittering. Horizon3 anbefaler å kontrollere /var/log/switchvox/db-quirks.log for mistenkelige oppføringer.
Team bør også gjennomgå nettverkslogger for uventede utgående tilkoblinger, spesielt tilkoblinger til den observerte angriperinfrastrukturen på port 39323.
Forskerne har ikke observert aktiv utnyttelse av de øvrige 11 sårbarhetene de rapporterte til Sangoma. De aktive angrepene mot CVE-2026-9586 gjør imidlertid oppdatering til høyeste prioritet for alle organisasjoner som bruker Switchvox.
0 responses to “Sårbarhet i Sangoma Switchvox utnyttes til å installere reverse shells”