Angreifer nutzen derzeit die Sicherheitslücke CVE-2026-9586 in der Plattform Sangoma Switchvox zur Verwaltung von Voice-over-IP-Kommunikationssystemen aus und versuchen, Systeme zu erkennen und Reverse-Shells darauf einzurichten. Laut Sicherheitsforschern von Horizon3 wurden die meisten direkt über das Internet erreichbaren Switchvox-Systeme bereits angegriffen oder werden wahrscheinlich bald angegriffen.
Switchvox wird von Unternehmen zur Konfiguration und Überwachung von Telefonsystemen eingesetzt. CVE-2026-9586 ist die schwerwiegendste der 12 Schwachstellen, die Horizon3 entdeckt und Sangoma am 10. April gemeldet hat, bevor das Unternehmen sie in Version 8.4.0.2 behob, die am 14. Juli veröffentlicht wurde.
Wie kann die Schwachstelle ausgenutzt werden?
Das Problem besteht in einer nicht authentifizierten SQL-Injection-Schwachstelle innerhalb des über HTTP erreichbaren Endpunkts /pa. Dieser Endpunkt empfängt eine XML-Nachricht mit Wertepaaren, extrahiert daraus das Feld PhoneIP und fügt es direkt in eine SQL-Abfrage ein, die nicht parametergestützt ist.
Die Forscher wiesen nach, dass ein Angreifer mithilfe des Werkzeugs curl eine speziell präparierte XML-Anfrage senden kann, um die Injection auszunutzen und Befehle auf dem Betriebssystem auszuführen. Das Problem beschränkt sich somit nicht auf die Offenlegung von Datenbankinformationen, sondern kann dem Angreifer einen Weg zur Remote-Code-Ausführung auf dem Gerät eröffnen, auf dem Switchvox läuft.
Versuche zum Einrichten von Reverse-Shells beobachtet
Am 30. August registrierten die Honeypots von Horizon3 innerhalb eines kurzen Zeitraums aktive Ausnutzungsversuche gegen mehrere Systeme, die von einer einzigen IP-Adresse, 176.65.148.184, ausgingen. Der Angreifer versuchte, eine Reverse-Shell einzurichten, führte anschließend eine erste Payload aus und sammelte Informationen über die Prozesse, die auf dem Switchvox-System die meisten Ressourcen verbrauchten oder aktiv waren. Danach wurden die Daten Base64-kodiert an einen entfernten Server gesendet.
Horizon3 zufolge deutet die schnelle Abfolge der Versuche gegen mehrere Honeypots von derselben Quelle darauf hin, dass wahrscheinlich die meisten im Internet exponierten Switchvox-Instanzen angegriffen werden. Daten von Shodan zeigen etwa 4.000 mit dem Internet verbundene Geräte, von denen sich die meisten in den Vereinigten Staaten befinden. Die Forscher haben bislang keine aktive Ausnutzung der 11 anderen von ihnen entdeckten Schwachstellen beobachtet.
Was sollten Betreiber tun?
Horizon3 empfiehlt Systemadministratoren, so schnell wie möglich auf Switchvox 8.4.0.2 oder eine neuere Version zu aktualisieren und die Systeme auf Anzeichen früherer Angriffe zu untersuchen. Zu den genannten Indikatoren gehören verdächtige Zeichenfolgen in der Datei /var/log/switchvox/db-quirks.log sowie Netzwerkverbindungen zur beobachteten IP-Adresse, insbesondere über den Port 39323.
Warum ist diese Nachricht wichtig?
Die Bedeutung der Entwicklung ergibt sich aus dem Zusammentreffen von drei Faktoren: Die Schwachstelle erfordert keine Authentifizierung, kann aus der Ferne ausgenutzt werden und ist von der Offenlegung und Behebung zur tatsächlichen Ausnutzung übergegangen. In der Praxis reicht die Installation der korrigierten Version für Unternehmen, deren Systeme exponiert waren, nicht aus. Die Beobachtungen von Horizon3 zeigen, dass auch Protokolle und ausgehende Verbindungen überprüft werden müssen, um festzustellen, ob der Angreifer vor der Aktualisierung Befehle ausgeführt oder Informationen gesammelt hat.