CVE-2026-9586
In Sangoma Switchvox SMB Edition 8.3 (104997) existiert eine nicht authentifizierte SQL-Injection-Schwachstelle. Der /pa-Endpunkt verarbeitet XML-Inhalte, die mit <PolycomIPPhone> beginnen, und verkettet den benutzergesteuerten PhoneIP-Wert ohne Sanitization oder Parametrisierung direkt in PostgreSQL-Abfragen. Ein nicht authentifizierter Remote-Angreifer kann mit einer einzigen manipulierten Anfrage beliebige SQL-Anweisungen gegen die Backend-PostgreSQL-Datenbank ausführen, einschließlich Datenbankoperationen und Remote Code Execution.
Aktiv ausgenutzt
- Seit dem 02.09.2026 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 05.09.2026 beheben (BOD 22-01)
- Erster Angriff 45 Tage nach der Veröffentlichung beobachtet
- Durch Sensoren bestätigt, nicht nur durch Meldungen
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Quelle: CISA KEV · 03.10.2026 02.10.2026 01.10.2026 30.09.2026 29.09.2026 28.09.2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| sangoma | switchvox | < 8.4.0.2 |
Verwandte Artikel
Fortinet CVE-2025-25249 in großem Umfang ausgenutzt, um PivotC2-RAT zu installieren
CVE-2025-25249 in FortiOS u.a. wird aktiv ausgenutzt, um PivotC2-RAT zu installieren. Über 30.000 IPs gescannt, 178 Geräte infiziert. Jetzt patchen.
Aktiv ausgenutzte Schwachstelle in N-able N-central ermöglicht Remote-Codeausführung vor der Authentifizierung
CVE-2026-86218 in N-able N-central ermöglicht RCE ohne Login und wird aktiv ausgenutzt. CISA fordert Patch auf Hotfix 4 bis 11.09.2026.
PostgreSQL: Schwachstelle im Logical Decoding ermöglicht Codeausführung als Benutzer `postgres`
CVE-2026-6471 erlaubt Codeausführung als postgres via Logical Decoding ohne Superuser. Betroffen: Versionen 14-18. Update auf 18.6, 17.11 u.a. nötig.
Sangoma Switchvox unter Beschuss: Kritische SQL-Injection ermöglicht Remote-Codeausführung
CVE-2026-9586 in Sangoma Switchvox wird aktiv ausgenutzt: SQL-Injection über /pa ermöglicht RCE. Jetzt auf 8.4.0.2 updaten und Logs prüfen.
Switchvox unter Angriff: Kritische SQL-Injection installiert Reverse Shell ohne Zugangsdaten
CVE-2026-9586 in Sangoma Switchvox SMB: SQL-Injection über PhoneIP ermöglicht ohne Login Reverse Shell und Codeausführung. Update auf 8.4.0.2 verfügbar.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.