Sårbarhet i Sangoma Switchvox utnyttjas för att installera reverse shells

Angripare utnyttjar aktivt en kritisk sårbarhet i Sangoma Switchvox för att köra kommandon och installera reverse shells på exponerade företagstelefonsystem. Sårbarheten, som spåras som CVE-2026-9586, påverkar VoIP-plattformen för företag och kräver ingen autentisering.

Säkerhetsforskare på Horizon3 observerade attacker mot flera honeypots den 30 augusti. De varnar för att angripare redan kan ha riktat in sig på, eller snart kommer att rikta in sig på, de flesta internetexponerade Switchvox-system.

Oautentiserad SQL-injektion leder till kodkörning

Sårbarheten i Sangoma Switchvox är en SQL-injektionssårbarhet i plattformens exponerade HTTP-endpoint /pa. Switchvox använder denna endpoint för att hantera XML-meddelanden relaterade till händelser i telefonsystemet.

Forskarna upptäckte att endpointen hämtar värdet PhoneIP från inkommande XML och lägger till det direkt i en SQL-fråga utan att använda säker parameterisering.

En angripare kan skicka en särskilt utformad begäran för att utnyttja sårbarheten på distans. Ett lyckat utnyttjande gör det möjligt för angriparen att köra operativsystemkommandon på det berörda Switchvox-systemet.

Denna åtkomst kan leda till ett reverse shell, vilket ger angriparen en beständig fjärranslutning till enheten.

Angripare riktar in sig på internetexponerade telefonsystem

Horizon3 rapporterade problemet till Sangoma den 10 april som en del av en grupp på 12 säkerhetsbrister. CVE-2026-9586 var det allvarligaste problemet i rapporten.

Sangoma släppte en korrigering i Switchvox version 8.4.0.2 den 14 juli. Forskarna såg dock senare angripare utnyttja sårbarheten i verkliga attacker.

Under de observerade attackerna riktade en IP-adress in sig på flera honeypot-system i snabb följd. Angriparen försökte upprätta reverse shells, samla in en lista över de mest aktiva processerna och skicka resultaten till en fjärrserver i Base64-kodad form.

Horizon3 uppgav att data från skanningar av internet visade omkring 4 000 exponerade Switchvox-enheter, varav de flesta fanns i USA.

Administratörer bör uppdatera Switchvox nu

Systemadministratörer bör uppdatera till Switchvox version 8.4.0.2 eller senare utan dröjsmål. Det aktiva utnyttjandet av sårbarheten i Sangoma Switchvox innebär att ouppdaterade system står inför en omedelbar risk.

Administratörer bör också undersöka systemen efter tecken på försök till eller lyckade intrång. Horizon3 rekommenderar att kontrollera /var/log/switchvox/db-quirks.log efter misstänkta poster.

Team bör också granska nätverksloggar efter oväntade utgående anslutningar, särskilt anslutningar till den observerade angriparinfrastrukturen på port 39323.

Forskarna har inte observerat något aktivt utnyttjande av de övriga 11 sårbarheterna som de rapporterade till Sangoma. De aktiva attackerna mot CVE-2026-9586 gör dock uppdateringen till högsta prioritet för alla organisationer som använder Switchvox.