Sangoma Switchvox の脆弱性 CVE-2026-9586 が FIX：未認証の SQLi と RCE による悪用を観測

Sangoma Switchvox RCE Flaw Actively Exploited in Wild via Unauthenticated SQL Injection

2026/09/03 gbhackers — Sangoma Switchvox の深刻な脆弱性 CVE-2026-9586 を標的とする積極的な悪用の試みを、セキュリティ研究者が報告している。認証を必要としない攻撃者は、この脆弱性を悪用して、SQL インジェクションを介してリモート・コード実行を引き起こす可能性がある。この脆弱性は、インターネットへ公開されたエンタープライズ向けの VoIP システムである Switchvox に影響を及ぼすものであり、すでにバージョン 8.4.0.2 で修正されている。

Sangoma Switchvox の RCE 脆弱性

以前に報告された FreePBX の脆弱性が悪用されたことを受け、Horizon3.ai の研究者 Zach Hanley が各社の製品エコシステムを調査したところ、12 件の脆弱性が発見され、そのうちの 1 件が Sangoma Switchvox の CVE-2026-9586 だった。他の 11 件の脆弱性とは異なり、Sangoma の CVE-2026-9586 では、Horizon3.ai の Defused Cyber のハニーポット基盤を標的とする悪用の試みがすでに検出されている。

Switchvox は、通話／ボイスメール／転送／監視／分析に加え、サポート対象の電話デバイスを管理するオンプレミス型の企業向けテレフォニー・プラットフォームである。このプラットフォームの、認証なしでアクセス可能な HTTP エンドポイント “/pa” を介して公開される脆弱な機能は、Perl ベースのコンポーネント “PhoneAppsHandler.pm” により処理される。

このエンドポイントは XML 形式の電話通知リクエストを受け付けるが、送信されたコンテンツに対しては、想定される \<PolycomIPPhone> XML 構造から始まっていることを確認するだけの最小限の検証しか行われない。したがって、XML ドキュメント内に埋め込まれた値が十分に検証されない。

脆弱なデータフローは、アプリケーションによるリクエストボディの読み取りと、”XML::Simple::XMLin()” を使用した解析から始まる。このアプリケーションは “PhoneIP” フィールドを抽出するが、パラメータ化／サニタイズを行わずにユーザーが制御する値を SQL クエリへ挿入する。挿入された値はシングルクォートで囲まれた SQL コンテキスト内で使用されるため、攻撃者は元の SQL クエリの文脈を終了させ、任意の PostgreSQL コマンドを追加できる。

Horizon3.ai は、データベース・クエリが PostgreSQL のスーパーユーザー・レベルの権限で実行されると指摘している。つまり、攻撃者はデータベースの機能を悪用して、基盤となる Switchvox アプライアンス上でコマンドを実行し得る。

この問題が特に危険なのは、有効な Switchvox アカウント／ユーザー操作／内部の電話管理インターフェイスへのアクセスを悪用の条件として必要としない点にある。Horizon3.ai のハニーポットから得られたテレメトリ・データでは、この欠陥を悪用して脆弱なシステム上でシェルコマンドを実行する攻撃が確認されており、観測されたペイロードの 1 つでは、Netcat を介したコマンドチャネルの確立や、侵害したデバイスからプロセス情報を収集する偵察活動が試みられていた。

さらに研究者は、同一の攻撃者のインフラが、短時間のうちに複数のハニーポットを標的としていたことを指摘している。これは、特定の対象を限定した攻撃キャンペーンではなく、インターネット全体を対象とする機会主義的なスキャンを示唆している。

 Exploitation across multiple honeypots from same attacker IP (Source: Horizon)
 Exploitation across multiple honeypots from same attacker IP
(Source: Horizon)

観測された活動に関連する送信元 IP アドレスの 1 つとして “176.65.148.184” が確認されている。ユーザー組織にとって必要なことは、この IP アドレスが関係するトラフィックについて、ログ／ファイアウォールデータ／プロキシ・テレメトリ／Switchvox 関連のネットワーク通信を調査することである。ただし、攻撃者はインフラを短期間で切り替えられるため、防御側は単一の侵害指標 (IoC) だけに依存すべきではない。

Horizon3.ai の推定では、約 4,000 台の Switchvox デバイスがインターネットへ公開されており、そのうち多数が米国内に存在するとみられる。このような状況から、外部からアクセス可能なインスタンスは、繰り返し悪用を試みられる可能性が高い。

Switchvox アプライアンスへの SSH アクセス権を持つ管理者に求められるのは、”/var/log/switchvox/db-quirks.log” を確認し、不審な SQL ステートメントを調査することである。特に確認すべきは、予期しないクエリ・デリミタ／COPY … TO PROGRAM などの SQL コマンド／シェル・ユーティリティ／Netcat／curl の実行／Base64 デコード／プロセス列挙の活動を含むエントリである。

組織に対して強く推奨されるのは、CVE-2026-9586 の修正を含む Switchvox バージョン 8.4.0.2 以降への即時アップグレードである。また、管理プレーンの外部公開の制限／Switchvox インターフェイスを VPN または信頼できるネットワーク制御配下に配置すること／テレフォニー・サーバからのアウトバウンド・トラフィックを監視することなども必要であり、異常な Command and Control (C2) 接続の確認も必要となる。

実際の悪用が確認されていることから、組織に求められるのは、パッチ未適用かつインターネットへ公開された Switchvox 環境を、すでに侵害されている可能性を前提として扱い、それに応じたインシデント・レスポンスの調査を実施することである。

Sangoma Switchvox の脆弱性について解説する記事です。企業向け電話システムにおいて、未検証の XML 入力処理／PostgreSQL の高権限実行に伴う SQL インジェクションなどの問題が発生する恐れがあります。この欠陥により、任意のシェルコマンド実行／C2 サーバーとの接続確立／システム内部の情報収集といった甚大な被害が懸念されます。影響を軽減するための有効な対応策として、修正パッチが適用されたバージョン 8.4.0.2 への更新／不審な SQL ログの点検／アクセス範囲の限定による安全確保が求められます。