공격자들이 현재 인터넷 프로토콜 기반 음성 통신 시스템 관리 플랫폼인 Sangoma Switchvox의 보안 취약점 CVE-2026-9586을 악용해 시스템을 탐색하고 역제어 세션을 실행하려는 시도를 벌이고 있다. Horizon3의 보안 연구원들에 따르면 인터넷에서 직접 접근 가능한 Switchvox 시스템 대부분은 이미 공격 대상이 되었거나 곧 공격 대상이 될 가능성이 높다.
Switchvox는 기업에서 전화 시스템을 구성하고 모니터링하는 데 사용된다. CVE-2026-9586은 Horizon3가 발견해 4월 10일 Sangoma에 제보한 12개 취약점 중 가장 심각한 취약점이며, 회사는 7월 14일 출시된 8.4.0.2 버전에서 이를 수정했다.
취약점은 어떻게 악용될 수 있는가?
문제는 HTTP를 통해 접근할 수 있는 /pa 엔드포인트에 존재하는 인증되지 않은 SQL 인젝션 취약점이다. 이 엔드포인트는 값 쌍이 포함된 XML 메시지를 수신한 뒤 PhoneIP 필드를 추출해 매개변수화되지 않은 SQL 쿼리에 직접 삽입한다.
연구원들은 공격자가 curl 도구를 사용해 특수하게 조작된 XML 요청을 보내 인젝션을 악용하고 운영 체제에서 명령을 실행할 수 있음을 입증했다. 따라서 문제는 데이터베이스 정보 노출에 그치지 않고, 공격자에게 Switchvox를 실행하는 장치에서 원격 명령을 실행할 수 있는 경로를 제공할 수 있다.
역제어 세션 생성 시도 포착
8월 30일, Horizon3의 허니팟은 짧은 시간 동안 여러 시스템에서 하나의 IP 주소인 176.65.148.184로부터 발생한 활발한 악용 시도를 포착했다. 공격자는 역제어 세션을 생성하려 했고, 이후 초기 페이로드를 실행해 Switchvox 시스템에서 가장 많은 리소스를 소비하거나 활동 중인 프로세스에 관한 정보를 수집했다. 그 후 데이터는 Base64를 사용해 암호화된 형식으로 원격 서버에 전송됐다.
Horizon3는 동일한 출처에서 여러 허니팟으로 시도가 빠르게 이어진 점을 볼 때 인터넷에 노출된 Switchvox 버전 대부분이 공격 대상일 가능성이 있다고 말한다. Shodan 데이터에 따르면 인터넷에 연결된 장치는 약 4,000대이며, 대부분은 미국에 위치한다. 연구원들은 지금까지 자신들이 발견한 나머지 11개 취약점에 대한 활발한 악용은 포착하지 못했다.
운영자는 무엇을 해야 하는가?
Horizon3는 시스템 관리자에게 가능한 한 빨리 Switchvox 8.4.0.2 또는 이후 버전으로 업그레이드하고, 이전 공격 징후가 있는지 시스템을 점검할 것을 권고한다. 언급된 징후에는 /var/log/switchvox/db-quirks.log 파일의 의심스러운 문자열과 관찰된 IP 주소로의 네트워크 연결, 특히 39323 포트를 통한 연결이 포함된다.
이 소식이 중요한 이유는 무엇인가?
이번 사안의 중요성은 세 가지 요인이 결합했다는 데 있다. 이 취약점은 인증이 필요하지 않고 원격으로 악용할 수 있으며, 공개와 수정 단계를 지나 실제 악용 단계로 넘어갔다. 실무적으로는 시스템이 노출됐던 기업의 경우 수정된 버전을 설치하는 것만으로 충분하지 않다. Horizon3의 관측은 업데이트 전에 공격자가 명령을 실행했거나 정보를 수집했는지 확인하기 위해 로그와 외부로 나가는 연결도 점검해야 한다는 점을 보여준다.