攻撃者はすでに、Sangoma製Switchvoxの重大な脆弱性の悪用を試みています。この脆弱性は、認証やユーザー操作を必要とせずにコマンド実行を可能にするものです。
セキュリティ研究者らは、SangomaのビジネスフォンシステムSwitchvox SMBに存在するSQLインジェクションの重大な脆弱性CVE-2026-9586を標的とした、実際の悪用の試みを確認しました。この脆弱性が悪用されると、リモートの未認証攻撃者が、インターネットに露出したSwitchvoxサーバー上でOSコマンドを実行できるおそれがあります。
インターネットに露出したVoIPインフラを運用している組織にとって、これは単なるパッチ通知にとどまらない、より切迫した競争になります。Sangomaは7月に修正版をリリース済みですが、脆弱なシステムは今まさに攻撃者の注目を集めているのです。
研究者が実際に確認したSwitchvoxへの悪用の試み
Horizon3の研究者らは今週、Defused Cyberと協力してSwitchvoxのハニーポットを展開した結果として、この活動を公表しました。
Horizon3は4月10日にこの問題をSangomaに報告し、Sangomaは同日中にこれを確認しました。4月21日、Sangomaは検証用の修正を含むリリース前ビルドをHorizon3に提供しました。同社は最終的に、7月14日にSwitchvox 8.4.0.2をリリースしています。
そして8月30日、Defused Cyberのハニーポットが、Horizon3の言う「実際の環境でCVE-2026-9586を悪用しようとする有効な試み」を検知しました。
この脆弱性は、Switchvoxが電話通知リクエストの処理に使用する未認証のHTTPエンドポイント「/pa」に存在します。Horizon3によると、攻撃者が制御可能なPhoneIPの入力値が、パラメータ化されていないPostgreSQLクエリに直接連結される仕組みになっています。
これによりSQLインジェクションの脆弱性が生じますが、影響範囲はそれにとどまりません。研究者らは、この脆弱性が最終的にはSwitchvoxホスト上でのOSコマンド実行にまで悪用できることを実証しました。
Horizon3によると、CVE-2026-9586のCVSS 4.0スコアは9.3で、重大(critical)に分類されています。
この脆弱性は、インターネットに露出した管理系システムが、攻撃者にほとんど、あるいはまったく認証を要求されない場合に特に危険となる、より広範な脆弱性の一群に類似しています。eSecurityPlanetは最近、認証情報なしで悪用可能だと研究者が指摘するGitLabの重大な脆弱性を取り上げたほか、別記事では認証バイパスによるサーバー侵害のリスクを高めるcPanelの脆弱性も報じています。
露出したSwitchvoxシステムは約4,000台
潜在的な攻撃対象領域の規模も、管理者が注意を払うべき理由の一つです。
Horizon3によると、Shodanで検索したところ、約4,000台のSwitchvoxデバイスがインターネットに露出していることが判明し、その大半は米国に所在していました。露出しているシステムが必ずしも脆弱であったり侵害されているとは限りませんが、インターネットからアクセス可能であれば、攻撃者は更新されていないサーバーを探査できてしまいます。
Horizon3とDefused Cyberが観測した攻撃活動では、攻撃者はPostgreSQLのコマンド実行機能を悪用してncを呼び出そうと試み、その後curlを使って実行中のプロセスに関する情報を攻撃者が管理するインフラに送信していました。
Horizon3によると、SSHアクセス権を持つセキュリティチームは、Switchvoxの/var/log/switchvox/db-quirks.logを確認することで、SQL文が注入された痕跡を調べることも可能です。調査担当者は、システムが侵害されたと結論付ける前に、不審なコマンドと、脆弱な/paエンドポイントへのリクエスト、注入されたPostgreSQL文、外部への通信、その他のホストやネットワークのテレメトリとを突き合わせて確認する必要があります。
今回の事態は、脆弱性の公表から悪用の試みまでの時間的猶予が、組織にとってますます短くなっている現状を裏付けるものです。この圧力は、インフラ製品への最近の攻撃においても顕在化しており、その一例が、露出したファイアウォールへのパッチ適用を管理者に優先させる契機となった実際に悪用されたCisco ASAおよびFTDの脆弱性です。
Switchvox管理者が今すぐ取るべき対応
Sangoma Switchvoxを運用している組織は、特にシステムが公衆インターネットから到達可能な場合、これを優先度の高いパッチ適用課題として扱う必要があります。
管理者は以下を実施してください。
- Switchvox 8.4.0.2以降にアップグレードする。Sangomaのリリースノートには、CVE-2026-9586が7月14日の更新で修正されたセキュリティ問題の一つとして記載されています。
- システムがインターネットに露出していないか確認する。Horizon3は、約4,000台のSwitchvoxデバイスがオンライン上で確認可能な状態にあることを突き止めており、外部から到達可能なシステムが悪用の試みの最も分かりやすい標的となっています。
- /var/log/switchvox/db-quirks.logを確認し、不審な活動がないか調べる。Horizon3によると、注入されたSQL文の痕跡はこのログに現れる可能性があります。チームは不審なエントリを、/paへのリクエストやその他のネットワーク・ホスト上の活動と突き合わせて確認すべきです。
- コマンド実行の痕跡がないか調べる。チームは、脆弱な/paエンドポイントへのリクエストに関連する不審なコマンドや外部への通信について、ホストおよびネットワークのテレメトリを確認する必要があります。
- 「古いバージョンだから大丈夫」と決めつけない。影響を受けるバージョン範囲については、公開情報の間で見解が一致していません。Sangomaのリリースノートでは、CVE-2026-9586はSwitchvox 8.2.2.1に影響すると説明されている一方、CNAのレコードでは、Switchvox SMB Edition 8.3(build 104997)から8.4.0.2より前のバージョンまでが対象とされています。Horizon3は、それより古いリリースを使用している組織に対し、自分たちのバージョンは影響を受けないと決めつけず、修正版へアップグレードするよう推奨しています。
この脆弱性を独自に発見したSecurity Risk Advisorsも、Switchvox SMBシステムをバージョン8.4.0.2以降にアップグレードするよう推奨しています。
管理者が、悪用が成功した可能性を示す痕跡を発見した場合は、該当するSwitchvoxサーバーを侵害された可能性のあるものとして扱い、パッチ適用だけで済ませず、通常のインシデント対応プロセスに移行すべきです。
重要なのはタイミングです。Sangomaが修正版をリリースしたのは7月14日で、それから約6週間後の8月30日に、研究者らが実際の環境での悪用の試みを検知しました。まだ更新を済ませていない組織にも、次に取るべき明確な行動があります。まずパッチを適用し、その上で攻撃者が自分たちより先に侵入していないかを確認することです。
関連記事:サーバー側を狙うもう一つの重大な脅威については、WordPressの脆弱性を突く公開エクスプロイトが、未パッチのシステムにおけるリモートコード実行のリスクをどのように高めているかをご覧ください。
Matt Gonzales
Matt Gonzales is a technology journalist, editor, and content strategist with more than a decade of experience covering emerging technologies, enterprise IT, cybersecurity, artificial intelligence, and workplace innovation. As Managing Editor for eWeek and TechRepublic, he leads editorial strategy and newsroom operations while helping business and IT leaders navigate an evolving technology landscape.
Throughout his career, Matt has held leadership roles overseeing content development, editorial planning, and newsroom operations across digital publications and enterprise media organizations. Before joining TechnologyAdvice, he served as an editor at SHRM, where he covered workplace trends and emerging technologies, and as Lead Writer and Editor for Marine Corps Systems Command, where he reported on defense technologies, innovation initiatives, and government technology programs.
Matt’s expertise spans cybersecurity, enterprise technology, AI, B2B software, technical writing, and digital publishing. He has reported on major technology developments, including the rapid evolution of generative AI, helping readers understand both the opportunities and risks associated with emerging technologies. His work combines deep research, editorial rigor, and practical business insights to make complex technical topics accessible to a broad audience.
An award-winning journalist, Matt has earned recognition for excellence in reporting and editorial leadership. He holds a Bachelor of Science in Communication with a concentration in Journalism from East Carolina University and continues to focus on delivering trusted analysis and actionable insights for technology, cybersecurity, and business professionals.
翻訳元: https://www.esecurityplanet.com/threats/news-sangoma-switchvox-cve-2026-9586-rce/
