Des attaquants exploitent actuellement la vulnérabilité de sécurité CVE-2026-9586 dans la plateforme Sangoma Switchvox de gestion des systèmes de communications vocales sur protocole Internet, en tentant de repérer les systèmes et d’y établir des sessions de contrôle inversées. Selon les chercheurs en sécurité de Horizon3, la plupart des systèmes Switchvox directement accessibles depuis Internet ont déjà été ciblés ou devraient l’être prochainement.
Switchvox est utilisée par les entreprises pour configurer et surveiller les systèmes téléphoniques. CVE-2026-9586 est la plus grave des 12 vulnérabilités découvertes par Horizon3 et signalées à Sangoma le 10 avril, avant que l’entreprise ne les corrige dans la version 8.4.0.2 publiée le 14 juillet.
Comment la vulnérabilité peut-elle être exploitée ?
Le problème réside dans une vulnérabilité d’injection SQL non authentifiée au sein du point de terminaison /pa, accessible via HTTP. Ce point de terminaison reçoit un message XML contenant des paires de valeurs, puis extrait le champ PhoneIP et l’insère directement dans une requête SQL non paramétrée.
Les chercheurs ont démontré qu’un attaquant pouvait envoyer une requête XML spécialement conçue, au moyen de l’outil curl, afin d’exploiter l’injection et d’exécuter des commandes sur le système d’exploitation. Le problème ne se limite donc pas à la divulgation de données de la base de données, mais peut également offrir à l’attaquant un moyen d’exécuter des commandes à distance sur l’appareil qui héberge Switchvox.
Des tentatives de création de sessions de contrôle inversées détectées
Le 30 août, les honeypots de Horizon3 ont détecté des tentatives d’exploitation actives sur plusieurs systèmes en peu de temps, depuis une seule adresse IP : 176.65.148.184. L’attaquant a tenté de créer une session de contrôle inversée, puis a exécuté une charge utile initiale et recueilli des informations sur les processus les plus consommateurs de ressources ou les plus actifs sur le système Switchvox. Les données ont ensuite été envoyées à un serveur distant sous forme chiffrée à l’aide de Base64.
Horizon3 affirme que la rapidité avec laquelle les tentatives se sont succédé sur plusieurs honeypots depuis la même source laisse penser que la plupart des versions de Switchvox exposées sur Internet pourraient être ciblées. Les données de Shodan indiquent la présence d’environ 4 000 appareils connectés à Internet, dont la majorité se trouve aux États-Unis. Les chercheurs n’ont jusqu’à présent détecté aucune exploitation active des 11 autres vulnérabilités qu’ils ont découvertes.
Que doivent faire les opérateurs ?
Horizon3 recommande aux administrateurs systèmes de mettre à niveau Switchvox vers la version 8.4.0.2 ou une version ultérieure dans les plus brefs délais, et d’examiner les systèmes à la recherche d’indices d’un ciblage antérieur. Parmi les indicateurs mentionnés figurent des chaînes suspectes dans le fichier /var/log/switchvox/db-quirks.log, ainsi que des communications réseau avec l’adresse IP observée, notamment via le port 39323.
Pourquoi cette actualité est-elle importante ?
L’importance de cette évolution tient à la réunion de trois facteurs : la vulnérabilité ne nécessite aucune authentification, elle peut être exploitée à distance et elle est passée de la phase de divulgation et de correction à l’exploitation effective. En pratique, l’installation de la version corrigée ne suffit pas pour les entreprises dont les systèmes étaient exposés : les observations de Horizon3 indiquent qu’il est également nécessaire de vérifier les journaux et les communications sortantes afin de déterminer si l’attaquant a exécuté des commandes ou recueilli des informations avant la mise à jour.