企業向け電話交換機Sangoma Switchvoxでは、特別に細工されたXMLリクエストを1件送信するだけで、インターネット上の見知らぬ第三者がサーバーのコマンドシェルに到達できてしまいます。この重大な脆弱性はすでに稼働中のシステムに対して探索行為が確認されており、攻撃は研究者が設置したデコイのうち複数台にまたがって瞬く間に広がりました。
この脆弱性はCVE-2026-9586として識別番号が付与され、企業向けVoIP電話を管理するプラットフォームであるSwitchvoxに影響します。攻撃の実行にはパスワードもアカウントも従業員による操作も一切必要ありません。CVSS 4.0によるスコアは10点満点中9.3点と評価されています。
認証不要のエンドポイントが侵入口に
侵入口となるのは、認可なしに公開されている/paというHTTPアドレスで、システムはこれを通じて電話機向けの通知を処理します。SwitchvoxはXMLを受け付け、その中のPhoneIPフィールドを抽出し、その内容をそのままPostgreSQLへのクエリに挿入します。検証が一切行われないため、攻撃者はSQLインジェクションを実行し、任意のコマンドを追加できてしまいます。
事態を特に深刻にしているのは、データベースの権限レベルです。クエリはPostgreSQLのスーパーユーザーとして実行されるため、攻撃者はCOPY TO PROGRAM関数を呼び出し、SQLコマンドからオペレーティングシステムのコマンド実行へと踏み込むことができます。研究者らは、1件の細工されたHTTPリクエストだけでリバースコマンドシェルを取得できることを確認しています。
すでに実際の攻撃での悪用を確認
8月30日、Horizon3とDefused Cyberのハニーポットが、複数のノードにまたがって実際の悪用の試みを同時に記録しました。リクエストは176.65.148.184というアドレスから送信されていました。シェルを起動した後、攻撃者は実行中のプロセスに関する情報を収集し、その結果をリモートサーバーへ送信していました。同一のリクエストが立て続けに送られてきたことから、研究者らは攻撃者がインターネットに公開されているSwitchvoxのインストール環境を系統的に探索しているとみています。
Shodanによれば、こうしたシステムはオンライン上でおよそ4,000台がアクセス可能な状態にあり、その大半は米国に所在しています。Horizon3は、公開されているSwitchvoxインスタンスのかなりの割合が、すでに自動スキャンの対象になっている可能性があるとみています。管理者は/var/log/switchvox/db-quirks.logのログを確認することで、SQLコマンドが注入された痕跡を調査できます。
パッチは7月から提供済み
Sangomaは7月14日にリリースしたSwitchvox 8.4.0.2で、すでにこの脆弱性を修正済みです。CVE-2026-9586と併せて、ベンダーはコマンドインジェクション、ローカルファイルの読み取り、XSS、SSRFなど複数の問題も修正しています。
この攻撃に関する技術的な分析からは、侵害に至るまで手の込んだ攻撃チェーンを必要としないことがわかります。インターネットに公開されたSwitchvoxシステムを運用する管理者には、少なくともバージョン8.4.0.2へのアップグレードが推奨されるとともに、すでに侵害が発生していないか、ログやネットワーク上の活動を別途確認することが求められます。
翻訳元: https://meterpreter.org/switchvox-cve-2026-9586-rce/
