脅威アクターが、最近パッチが提供されたSQLインジェクションの脆弱性(CVE-2026-9586)を悪用し、インターネットに公開されたSangoma Switchvoxのインスタンスを積極的に狙っています。同製品を運用している組織は、直ちに侵害の兆候がないか確認する必要があります。
CVE-2026-9586の仕組み
Switchvoxは、オープンソースのAsteriskエンジンをベースに構築されたVoIP統合コミュニケーションプラットフォームで、中小企業を主な対象としています。オンプレミス、クラウド、仮想化基盤のいずれでも導入可能です。
Sangoma Switchvox SMB Edition 8.3に見つかったCVE-2026-9586を悪用すると、攻撃者は認証を必要としないエンドポイントに細工したHTTP POSTリクエストを送信することで、バックエンドのPostgreSQLデータベースに対して任意のSQL文を実行できます。
この脆弱性は2026年4月、Horizon3のリサーチャーによって発見され、(独立して、やや遅れて)Security Risk Advisorsも発見しています。両者はこの脆弱性とその他に見つかった欠陥をSangomaに報告し、CVE-2026-9586はSwitchvoxバージョン8.4.0.2で修正されました。このバージョンは2026年7月14日に公開されています。
Horizon3は2026年5月、脅威インテリジェンス企業のDefused Cyberと連携し、Switchvoxを稼働しているように見せかけたインターネットハニーポットを展開しました。これはSangomaが修正版を提供する前の話で、発見された脆弱性の悪用状況を監視する目的でした。
8月30日、ハニーポットはCVE-2026-9586を狙った悪用の試みを検知し始めました。
攻撃者が行っていること
これらの攻撃は単一のIPアドレスから行われていました。攻撃者は侵害したシステムにリバースシェルを設置し、その後コマンドを実行して稼働中のプロセスを列挙しています。
Horizon3のリサーチャーであるZach Hanley氏が公表した侵害指標(IoC)には、特定のログエントリと攻撃者のIPアドレス(176.65.148.184)が含まれています。
「複数のハニーポットに対して同一の送信元IPから立て続けに悪用の試みが行われていることから、インターネットに公開されているSwitchvoxインスタンスの大半が、すでに標的にされているか、今後標的にされる可能性が高いと考えられます」と同氏は警告しています。
「現時点でShodanを確認すると、インターネット上には約4,000台のデバイスが存在し、その大半が米国内に所在しています」
Switchvoxを修正済みバージョンに更新できないユーザーは、Switchvoxのインターフェースおよび/paエンドポイントへのネットワークアクセスを制限する必要があります。
