Saldırganlar şu anda, IP üzerinden sesli iletişim sistemlerini yönetmeye yönelik Sangoma Switchvox platformundaki CVE-2026-9586 güvenlik açığından yararlanarak sistemleri taramaya ve bunlar üzerinde ters kontrol oturumları başlatmaya çalışıyor. Horizon3 güvenlik araştırmacılarına göre, doğrudan internete açık Switchvox sistemlerinin çoğu ya zaten hedef alındı ya da yakında hedef alınacak.
Switchvox, kuruluşlarda telefon sistemlerini yapılandırmak ve izlemek için kullanılıyor. CVE-2026-9586, Horizon3'ün 10 Nisan'da keşfederek Sangoma'ya bildirdiği 12 güvenlik açığı arasındaki en ciddi açık olarak değerlendiriliyor. Şirket açığı, 14 Temmuz'da yayımlanan 8.4.0.2 sürümünde giderdi.
Açık nasıl istismar edilebiliyor?
Sorun, HTTP üzerinden erişilebilen /pa uç noktasında bulunan kimlik doğrulama gerektirmeyen bir SQL enjeksiyonu açığından kaynaklanıyor. Bu uç nokta, değer çiftleri içeren bir XML mesajı alıyor; ardından PhoneIP alanını çıkararak doğrudan parametrelerle hazırlanmamış bir SQL sorgusuna ekliyor.
Araştırmacılar, saldırganın curl aracıyla özel olarak hazırlanmış bir XML isteği göndererek enjeksiyondan yararlanabileceğini ve işletim sistemi üzerinde komutlar çalıştırabileceğini kanıtladı. Bu nedenle sorun yalnızca veritabanı bilgilerinin açığa çıkmasıyla sınırlı kalmıyor; saldırgana Switchvox'u çalıştıran cihazda uzaktan komut yürütme yolu da sağlayabiliyor.
Ters kontrol oturumları oluşturma girişimleri tespit edildi
30 Ağustos'ta Horizon3 tuzak sistemleri, kısa bir süre içinde birden fazla sistemde, 176.65.148.184 adlı tek bir IP adresinden gelen aktif istismar girişimleri tespit etti. Saldırgan bir ters kontrol oturumu oluşturmaya çalıştı, ardından ilk yükü çalıştırarak Switchvox sisteminde en fazla kaynak tüketen veya etkin olan işlemler hakkında bilgi topladı. Daha sonra veriler Base64 kullanılarak şifrelenmiş biçimde uzak bir sunucuya gönderildi.
Horizon3, aynı kaynaktan birden fazla tuzak sisteme yönelik girişimlerin art arda ve hızlı biçimde gerçekleşmesinin, internete açık Switchvox sürümlerinin çoğunun hedef alınıyor olabileceğine işaret ettiğini belirtiyor. Shodan verileri, çoğu Amerika Birleşik Devletleri'nde bulunan yaklaşık 4.000 internete bağlı cihaz olduğunu gösteriyor. Araştırmacılar, şimdiye kadar keşfettikleri diğer 11 açığın aktif olarak istismar edildiğini tespit etmedi.
Operatörler ne yapmalı?
Horizon3, sistem yöneticilerine en kısa sürede Switchvox 8.4.0.2 veya daha yeni bir sürüme yükseltme ve sistemleri önceki hedef alma belirtilerine karşı inceleme öneriyor. Belirtiler arasında /var/log/switchvox/db-quirks.log dosyasındaki şüpheli ifadelerin yanı sıra, özellikle 39323 numaralı port üzerinden gözlemlenen IP adresiyle kurulan ağ bağlantıları yer alıyor.
Bu haber neden önemli?
Gelişmenin önemi üç faktörün bir araya gelmesinden kaynaklanıyor: Açık kimlik doğrulaması gerektirmiyor, uzaktan istismar edilebiliyor ve açıklanıp düzeltilme aşamasından fiilî istismar aşamasına geçmiş durumda. Pratikte, sistemleri açıkta olan kuruluşlar için yalnızca düzeltilmiş sürümü yüklemek yeterli değil; Horizon3'ün gözlemleri, saldırganın güncelleme öncesinde komut çalıştırıp çalıştırmadığını veya bilgi toplayıp toplamadığını belirlemek için günlüklerin ve dışarıya yapılan bağlantıların da incelenmesi gerektiğine işaret ediyor.