Lỗ hổng nghiêm trọng trong Sangoma Switchvox bị khai thác để chạy reverse shell
"Attackers are actively exploiting CVE-2026-9586, a critical unauthenticated SQL injection flaw in Sangoma Switchvox SMB Edition 8.3 that can lead to arbitrary SQL execution and remote code execution as the PostgreSQL superuser. Sangoma patched the issue in Switchvox 8.4.0.2 on July 14, 2026, and observed exploitation in the wild beginning August 30, 2026, with reported reverse shell deployment and potential credential forgery via cookie signing key theft."
Rủi ro thực thi mã từ xa trên hệ thống không cần xác thực; có thể dẫn đến chiếm quyền máy chủ, rò rỉ dữ liệu và giả mạo phiên đăng nhập.
Ảnh hưởng trực tiếp đến hệ thống VoIP doanh nghiệp; có thể gây gián đoạn liên lạc, phát sinh xử lý sự cố và tăng rủi ro lộ dữ liệu vận hành.
Các tác nhân tấn công đang khai thác CVE-2026-9586, một lỗ hổng SQL injection chưa xác thực trong Sangoma Switchvox SMB Edition 8.3, để thực thi mã từ xa mà không cần thông tin đăng nhập. Theo mô tả kỹ thuật, điểm yếu nằm ở /pa endpoint, nơi giá trị PhoneIP được ghép trực tiếp vào truy vấn PostgreSQL mà không được làm sạch hoặc tham số hóa.
Lỗ hổng này có CVSS 9.3 và có thể cho phép kẻ tấn công thực thi lệnh SQL tùy ý với quyền PostgreSQL superuser, từ đó dẫn đến remote code execution. Sangoma đã phát hành bản vá trong Switchvox 8.4.0.2 vào 14/07/2026, nhưng các hoạt động khai thác thực tế đã được ghi nhận từ 30/08/2026.
Theo các nhà nghiên cứu, khai thác thành công có thể dẫn đến reverse shell, sửa đổi bản ghi người dùng, trích xuất dữ liệu cơ sở dữ liệu và thậm chí lấy cookie signing key để giả mạo thông tin xác thực. Có khoảng 4.000 hệ thống Switchvox đang lộ ra Internet, phần lớn tại Mỹ.
Khuyến nghị: nâng cấp ngay lên Switchvox 8.4.0.2 hoặc bản mới hơn, rà soát nhật ký /var/log/switchvox/db-quirks.log, kiểm tra dấu hiệu kết nối từ 176.65.148[.]184, và xác minh các tài khoản quản trị, khóa ký cookie cùng các tiến trình bất thường trên máy chủ.