攻击者目前正在利用 Sangoma Switchvox 这一通过互联网协议管理语音通信系统的平台中的 CVE-2026-9586 安全漏洞，并尝试探测系统以及在其上建立反向控制会话。根据 Horizon3 安全研究人员的说法，大多数可直接从互联网访问的 Switchvox 系统已经遭到攻击，或很可能很快成为攻击目标。
企业使用 Switchvox 配置和监控电话系统。CVE-2026-9586 是 Horizon3 发现并于 4 月 10 日报告给 Sangoma 的 12 个漏洞中最严重的一个，随后该公司在 7 月 14 日发布的 8.4.0.2 版本中修复了该漏洞。
漏洞如何被利用？
问题在于可通过 HTTP 访问的 /pa 端点中存在一个未公开的 SQL 注入漏洞。该端点接收包含多个值对的 XML 消息，然后提取 PhoneIP 字段，并将其直接插入未使用参数化查询的 SQL 语句中。
研究人员证明，攻击者可以使用 curl 工具发送特制的 XML 请求，利用该注入漏洞在操作系统上执行命令。因此，问题不仅限于暴露数据库数据，还可能为攻击者提供在运行 Switchvox 的设备上远程执行命令的途径。
发现创建反向控制会话的尝试
8 月 30 日，Horizon3 的蜜罐在短时间内发现多个系统遭到积极利用尝试，这些尝试均来自同一个 IP 地址：176.65.148.184。攻击者试图建立反向控制会话，随后执行初始载荷，并收集 Switchvox 系统上消耗资源最多或处于活动状态的进程信息。之后，数据以使用 Base64 加密的格式发送到远程服务器。
Horizon3 表示，同一来源在多个蜜罐之间快速连续发起尝试，表明攻击者可能正在瞄准大多数暴露在互联网中的 Switchvox 版本。Shodan 数据显示，约有 4,000 台设备连接到互联网，其中大多数位于美国。截至目前，研究人员尚未发现另外 11 个漏洞遭到积极利用。
运营方应采取什么措施？
Horizon3 建议系统管理员尽快升级到 Switchvox 8.4.0.2 或更高版本，并检查系统是否存在此前遭到攻击的迹象。已提到的迹象包括 /var/log/switchvox/db-quirks.log 文件中出现可疑字符串，以及与已观测 IP 地址建立网络连接，尤其是通过 39323 端口建立的连接。
为什么这一消息很重要？
这一进展的重要性在于三个因素同时存在：该漏洞无需身份验证即可利用，可以远程利用，并且已经从披露和修复阶段进入实际利用阶段。实际上，对于系统曾暴露在互联网上的机构而言，仅安装修复版本并不足够；Horizon3 的监测表明，还必须检查日志和出站连接，以确定攻击者是否在更新前执行了命令或收集了信息。