脅威アクターが、エンタープライズ向けVoIP電話管理ソリューションSangoma Switchvoxに存在する深刻度クリティカルの脆弱性を悪用していると、Horizon3とCISAが警告しています。
CVE-2026-9586として追跡されるこの脆弱性はCVSSスコア9.3で、認証不要のSQLインジェクションの問題とされており、リモートから任意のコード実行に悪用される可能性があります。
この脆弱性は、XMLコンテンツを処理するエンドポイントに存在します。当該エンドポイントは、ユーザーが制御可能なPhoneIPの値をPostgreSQLクエリに連結する際、サニタイズやパラメータ化を行っていませんでした。
NISTのアドバイザリには、次のように記載されています。「認証されていないリモートの攻撃者は、細工された単一のリクエストを使用して、バックエンドのPostgreSQLデータベースに対して任意のSQL文を実行できます。これにはデータベース操作やリモートコード実行が含まれます」
火曜日、サイバーセキュリティ企業のHorizon3は、脅威アクターがCVE-2026-9586の悪用を実環境で開始したと警告し、組織が侵害の可能性を特定できるよう侵害指標(IoC)を公開しました。
水曜日、米国のサイバーセキュリティ機関CISAは、この脆弱性を他の6件の問題とともにKnown Exploited Vulnerabilities(KEV)カタログに追加しました。この6件には、JFrog Artifactoryの脆弱性や、最近悪用が確認された2件のSonicWall SMA1000のゼロデイも含まれています。
CISAのKEVに追加された5件目の脆弱性は、CVE-2026-48710です。これは、軽量なASGIフレームワークであるStarletteに存在するHTTPリクエスト/レスポンス・スマグリングの脆弱性で、5月に公開されました。Horizon3は6月初旬、ハッカーが5月からこの脆弱性を悪用していると述べています。
次に挙げられるのは、CVE-2026-49869です。これは、オープンソースのオーケストレーションプラットフォームKestraに存在する深刻度クリティカルのコマンドインジェクションの欠陥で、6月に公開され、先週Microsoftにより悪用が確認されたとして報告されました。
水曜日にCISAのKEVリストに追加された最後の脆弱性は、CVE-2026-59822です。これはLiteLLMに存在する深刻度高の認証バイパスの脆弱性です。先週、Wizは自社のハニーポットがこの脆弱性を狙った悪用の試みを検知したと述べています。
CISAは連邦政府機関に対し、これらの脆弱性について3日以内のパッチ適用を求めています。ただし、KestraとStarletteの脆弱性については、BOD 26-04の勧告に沿って2週間以内のパッチ適用を求めています。
翻訳元: https://www.securityweek.com/sangoma-switchvox-vulnerabilities-exploited-in-the-wild/
