Schwachstelle in Sangoma Switchvox wird zur Installation von Reverse Shells ausgenutzt

Angreifer nutzen aktiv eine kritische Schwachstelle in Sangoma Switchvox aus, um Befehle auszuführen und Reverse Shells auf öffentlich erreichbaren geschäftlichen Telefonsystemen einzurichten. Die als CVE-2026-9586 verfolgte Schwachstelle betrifft die VoIP-Plattform für Unternehmen und erfordert keine Authentifizierung.

Sicherheitsforscher von Horizon3 beobachteten am 30. August Angriffe auf mehrere Honeypots. Sie warnen, dass Angreifer möglicherweise bereits die meisten mit dem Internet verbundenen Switchvox-Systeme ins Visier genommen haben oder dies in Kürze tun werden.

Nicht authentifizierte SQL-Injection führt zur Codeausführung

Bei der Schwachstelle in Sangoma Switchvox handelt es sich um eine SQL-Injection-Sicherheitslücke im öffentlich erreichbaren HTTP-Endpunkt /pa der Plattform. Switchvox verwendet diesen Endpunkt zur Verarbeitung von XML-Nachrichten im Zusammenhang mit Ereignissen des Telefonsystems.

Die Forscher stellten fest, dass der Endpunkt den Wert PhoneIP aus eingehenden XML-Daten extrahiert und ihn direkt einer SQL-Abfrage hinzufügt, ohne eine sichere Parametrisierung zu verwenden.

Ein Angreifer kann eine speziell präparierte Anfrage senden, um die Schwachstelle aus der Ferne auszunutzen. Eine erfolgreiche Ausnutzung ermöglicht es dem Angreifer, Betriebssystembefehle auf dem betroffenen Switchvox-System auszuführen.

Dieser Zugriff kann zu einer Reverse Shell führen, die dem Angreifer eine dauerhafte Remote-Verbindung zum Gerät ermöglicht.

Angreifer nehmen internetfähige Telefonsysteme ins Visier

Horizon3 meldete das Problem am 10. April zusammen mit einer Gruppe von zwölf Sicherheitslücken an Sangoma. CVE-2026-9586 war die schwerwiegendste Schwachstelle in dieser Meldung.

Sangoma veröffentlichte am 14. Juli mit Switchvox Version 8.4.0.2 eine Fehlerbehebung. Später beobachteten die Forscher jedoch, dass Angreifer die Schwachstelle aktiv ausnutzten.

Bei den beobachteten Angriffen nahm eine einzelne Quell-IP-Adresse innerhalb kurzer Zeit mehrere Honeypot-Systeme ins Visier. Der Angreifer versuchte, Reverse Shells einzurichten, eine Liste der am stärksten ausgelasteten Prozesse zu sammeln und die Ergebnisse in Base64-kodierter Form an einen entfernten Server zu senden.

Horizon3 erklärte, dass Daten aus Internet-Scans rund 4.000 öffentlich erreichbare Switchvox-Geräte zeigten, von denen sich die meisten in den USA befanden.

Administratoren sollten Switchvox jetzt aktualisieren

Systemadministratoren sollten unverzüglich auf Switchvox Version 8.4.0.2 oder neuer aktualisieren. Die aktive Ausnutzung der Schwachstelle in Sangoma Switchvox bedeutet, dass ungepatchte Systeme einem unmittelbaren Risiko ausgesetzt sind.

Administratoren sollten ihre Systeme außerdem auf Anzeichen einer versuchten oder erfolgreichen Kompromittierung untersuchen. Horizon3 empfiehlt, /var/log/switchvox/db-quirks.log auf verdächtige Einträge zu überprüfen.

Teams sollten zudem Netzwerkprotokolle auf unerwartete ausgehende Verbindungen prüfen, insbesondere auf Verbindungen zur beobachteten Angreiferinfrastruktur über Port 39323.

Die Forscher haben keine aktive Ausnutzung der anderen elf Schwachstellen beobachtet, die sie Sangoma gemeldet haben. Die aktiven Angriffe auf CVE-2026-9586 machen das Einspielen des Updates jedoch zur obersten Priorität für alle Unternehmen, die Switchvox einsetzen.