攻撃者は現在、SangomaのVoIPプラットフォーム「Switchvox」に存在する未認証SQLインジェクション脆弱性CVE-2026-9586を積極的に悪用しており、この脆弱性はリモートコード実行につながる恐れがあります。
セキュリティ企業Horizon3の研究者によると、インターネットに公開されているSwitchvoxシステムの大半はすでに標的にされているか、近いうちに標的となる見込みです。
Switchvoxは、企業向け電話システムの設定・監視に使われるエンタープライズVoIP管理プラットフォームです。
CVE-2026-9586は、Horizon3が発見しSangomaに報告した12件の脆弱性の中で最も深刻なものです。報告は4月10日に行われ、ベンダー側は7月14日にリリースされたSwitchvoxバージョン8.4.0.2でこれらを修正しました。
この脆弱性は、Sangoma Switchvoxの/paというHTTPエンドポイントに存在する未認証SQLインジェクションの問題です。研究者らの説明によると、このエンドポイントは外部に公開されており、特定のキーと値のペアを含むXMLメッセージを解析します。
/paが着信や発信といったイベントを別の電話システムに通知するリクエストを受信すると、XMLメッセージからPhoneIPフィールドを抽出し、その値をパラメータ化されていないSQLクエリに直接連結してしまいます。
研究者らは、curlコマンドを使って細工したXMLリクエストを送信することで、このSQLインジェクションをリモートから悪用し、OSコマンドを実行できることを実証しました。
8月30日、Horizon3のハニーポットは、単一の送信元IPアドレス(176.65.148.184)から複数のシステムに対して立て続けに攻撃が仕掛けられているのを観測しました。攻撃者はリバースシェルの確立を試みていました。
この一連の試みの中で、攻撃者はまず初期ペイロードを実行し、続いてSwitchvoxシステム上で稼働している上位プロセスに関する情報を収集しました。収集されたデータはbase64でエンコードされた形でリモートサーバーへ送信されました。
「同一の送信元IPから複数のハニーポットに対して立て続けに攻撃の試みが観測されていることから、インターネットに公開されているSwitchvoxインスタンスのほとんどが標的にされる、あるいはすでに標的にされている可能性が高いと考えています」とHorizon3は警告しています。
「現在、Shodanの調査によれば、インターネット上には約4,000台のデバイスが存在し、その大半は米国内に所在しています。」
Horizon3によると、これまでに発見した残り11件の脆弱性については、実際に悪用された形跡は確認されていないとのことです。
CVE-2026-9586が現在進行形で悪用されていることを踏まえ、システム管理者にはSwitchvoxバージョン8.4.0.2以降への早急なアップグレードが推奨されます。それと並行して、すでに標的にされた形跡がないかどうかも確認しておくべきです。
侵害の兆候としては、/var/log/switchvox/db-quirks.logに記録される不審なステートメントや、観測された攻撃者のIPアドレス、特にポート39323への通信が挙げられます。
