脅威アクターがSangoma Switchvoxの重大な未認証SQLインジェクション脆弱性CVE-2026-9586の悪用を積極的に試みています。この脆弱性はリモートコード実行にまでエスカレートさせることが可能です。
Horizon3.aiの研究者によると、Defused Cyberと連携して運用しているインターネット公開型ハニーポットが8月30日、有効な攻撃試行を捕捉したとのことです。これは、Sangomaがこのエンタープライズ向けVoIPプラットフォームのセキュリティ修正をリリースしてから数週間後のことでした。
Sangoma Switchvoxは、企業がビジネスフォンシステム、ボイスメール、着信転送、デバイスプロビジョニング、通話モニタリング、分析機能を設定するために使用するオンプレミス型の電話管理ソリューションです。
この脆弱性は、対応デバイスの電話通知イベントを処理するために設計された、未認証のHTTPエンドポイント/paに存在します。
Horizon3.aiによると、問題はPerlベースのPhoneAppsHandler.pmコンポーネントに存在します。このハンドラーはXML形式のPOSTリクエストを受信し、送信されたXMLメッセージからデータを抽出します。
リクエストから取得されたPhoneIPパラメータは、適切な検証やパラメータ化を経ずにバックエンドのPostgreSQLクエリに到達する可能性があります。
アプリケーションは、送信されたデータが想定される<PolycomIPPhone>というXML要素で始まっているかどうかしかチェックしていないとされています。処理前にXML内に含まれる値を十分にサニタイズしていません。
リクエストボディはPOSTDATAというCGIパラメータを通じて読み取られ、XML::Simple::XMLin()関数で解析され、攻撃者が制御可能なPhoneIPの値を含むデータ構造に変換されます。
その値は、その後シングルクォートで囲まれた文脈でSQL文に連結され、データベースによって実行されます。
Sangomaは2026年7月14日にリリースしたSwitchvoxバージョン8.4.0.2でCVE-2026-9586に対処しました。しかし、Horizon3.aiによると、同社のハニーポットは8月30日に悪用活動を検知したとのことです。
観測された活動には、攻撃者が制御するインフラからシェル命令を取得・実行するよう設計された初期コマンドが含まれていました。その後、攻撃者はアプライアンス上で稼働しているプロセスの列挙を試み、収集した出力をリモートサーバーへ送信しようとしました。
研究者らは、複数のハニーポットにまたがって攻撃試行が急速に連続して発生していることから、攻撃者がインターネットに露出しているSwitchvoxインスタンスを標的に、広範かつ自動化されたスキャンを行っている可能性があると指摘しています。
この調査で引用されたShodanのデータによると、インターネットからアクセス可能なSwitchvoxデバイスは約4,000台存在し、その多くが米国に所在しています。Switchvoxを使用している組織は、直ちにバージョン8.4.0.2以降のサポート対象リリースへアップグレードする必要があります。
管理者はまた、インターネットへの直接露出を制限し、ファイアウォールとネットワークセグメンテーションによって対象サービスへのアクセスを制限し、可能な限りVPN経由のアクセスを必須とすべきです。
セキュリティチームは、不審なSQL活動、想定外のデータベースコマンド実行、シェルコマンド、異常なアウトバウンド接続がないか、/var/log/switchvox/db-quirks.logを確認する必要があります。
Horizon3.aiはまた、防御担当者に対し、観測された攻撃試行に関連するIPアドレス176.65.148.184に関連するネットワーク活動を調査するよう助言しています。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/critical-sangoma-switchvox-sql-injection-flaw/
