Sangoma Switchvox unter Beschuss: Kritische SQL-Injection ermöglicht Remote-Codeausführung

CVE-2026-9586 wird bereits ausgenutzt und erfordert sofortige Maßnahmen

Eine kritische Schwachstelle in Sangoma Switchvox wird bei realen Angriffen auf exponierte Systeme ausgenutzt. Die als CVE-2026-9586 bezeichnete Lücke ermöglicht es einem entfernten Angreifer ohne Zugangsdaten, eine einzige manipulierte Anfrage zu senden und Befehle an die PostgreSQL-Datenbank der Anwendung zu übermitteln.

Die bösartige Aktivität wurde von Horizon3 entdeckt. Das Unternehmen veröffentlichte außerdem Indicators of Compromise (IoCs), mit denen Organisationen mögliche Eindringversuche überprüfen können. Die genauen Inhalte dieser IoCs sind nicht bekannt. Ihre Verfügbarkeit macht es jedoch sinnvoll, sie in Threat-Hunting-Aktivitäten einzubeziehen.

Die CISA nahm CVE-2026-9586 am 2. September 2026 in den Katalog Known Exploited Vulnerabilities (KEV) auf. Für US-Bundesbehörden gilt der 5. September 2026 als Frist zur Behebung.

Es handelt sich daher nicht nur um eine theoretische Schwachstelle. Über das Internet erreichbare Installationen – insbesondere Systeme mit einer weiterhin verwundbaren Version – müssen als potenziell kompromittiert betrachtet und zusätzlich forensisch untersucht werden.

Das CISA-Feld zur Verwendung in Ransomware-Kampagnen ist auf „Unknown“ gesetzt. Es gibt somit keinen bestätigten Zusammenhang mit Ransomware-Operationen, ausschließen lässt er sich dadurch jedoch ebenfalls nicht. Die CISA fordert ausdrücklich die Durchführung des im Rahmen der Richtlinie BOD 26-04 vorgesehenen forensic triage.

Die XML-Anfrage, die PhoneIP in eine SQL-Injection verwandelt

Die Schwachstelle befindet sich im Switchvox-Endpunkt /pa, der XML-Inhalte verarbeitet, deren Einstiegselement <PolycomIPPhone> lautet. Innerhalb der Anfrage wird der vom Benutzer kontrollierbare Wert PhoneIP ohne ausreichende Neutralisierung und ohne Parametrisierung in PostgreSQL-Abfragen eingefügt.

Ein Angreifer kann daher ein XML-Dokument erstellen, in dem PhoneIP SQL-Syntax enthält. Bei der Verarbeitung der Anfrage durch Switchvox gelangt der schädliche Inhalt direkt in die an die Datenbank übermittelte Anweisung.

Der Angriff weist besonders günstige Voraussetzungen auf:

• Er kann über das Netzwerk durchgeführt werden.
• Eine Authentifizierung ist nicht erforderlich.
• Die Komplexität ist gering.
• Eine Benutzerinteraktion ist nicht notwendig.
• Der Angriff kann mit einer einzigen speziell präparierten Anfrage abgeschlossen werden.

Der beliebige Zugriff auf PostgreSQL ermöglicht das Auslesen oder Ändern von Informationen, die Manipulation des Anwendungsverhaltens sowie die Beeinträchtigung der Verfügbarkeit, Integrität und Vertraulichkeit von Daten. Unter bestimmten Bedingungen kann die Angriffskette zur Remote-Codeausführung auf dem betroffenen System führen.

Die Schwachstelle ist als CWE-89 klassifiziert und betrifft die unzureichende Neutralisierung spezieller Elemente, die in einen SQL-Befehl eingefügt werden. Der NVD-Score beträgt CVSS 3.1: 9.8, mit folgendem Vektor:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Ein journalistischer Bericht weist der Schwachstelle dagegen einen Score von 9.3 zu. Der technische Wert im NVD-Advisory beträgt 9.8. Die Abweichung sollte jedoch berücksichtigt werden, wenn Scanner, Sicherheitsbulletins und Systeme zur Priorisierung von Schwachstellen miteinander verglichen werden.

Welche Versionen aktualisiert werden müssen und welcher Build zuerst geprüft werden sollte

Laut NVD gelten Versionen von Sangoma Switchvox vor 8.4.0.2 als verwundbar. Der Eintrag nennt außerdem ausdrücklich die Switchvox SMB Edition 8.3, Build 104997.

Die am 14. Juli 2026 veröffentlichte Version 8.4.0.2 ist die maßgebliche Version, die zur Behebung geprüft werden sollte. Administratoren sollten daher mindestens auf diese Version aktualisieren und zuvor Kompatibilität, Backups und die operativen Hinweise von Sangoma prüfen.

Bei exponierten Systemen reicht die Installation des Patches allein nicht aus. Da CVE-2026-9586 bereits ausgenutzt wird, kann ein Update zwar den Einstiegspunkt schließen, aber nicht erkennen lassen, ob ein Angreifer ihn zuvor bereits verwendet hat.

Organisationen sollten umgehend alle Switchvox-Appliances erfassen – einschließlich vergessener Instanzen, Testumgebungen und über NAT oder Reverse Proxy veröffentlichter Schnittstellen. Wenn keine praktikablen Abhilfemaßnahmen verfügbar sind, empfiehlt die CISA, die Nutzung des Produkts einzustellen.

Konkrete Workarounds als Alternative zum Update wurden nicht veröffentlicht. Ohne eine offizielle Gegenmaßnahme kann eine Einschränkung des Netzwerkzugriffs die Exposition reduzieren. Sie ersetzt jedoch weder die Behebung der Schwachstelle noch die Untersuchung einer möglichen Kompromittierung.

Wonach in den Logs und in der PostgreSQL-Datenbank gesucht werden sollte

Das Triage sollte mit der Analyse von HTTP-Anfragen an /pa beginnen. Dabei sollten XML-Payloads mit <PolycomIPPhone> besonders berücksichtigt werden. An den mit PhoneIP verbundenen Werten ist gezielt nach ungewöhnlichen oder unerwarteten Inhalten zu suchen.

Zu den relevanten Prüfungen gehören:

• ungewöhnliche Anfragen an /pa, insbesondere von bislang nicht beobachteten IP-Adressen;
• SQL-Zeichen und SQL-Konstrukte innerhalb des Werts PhoneIP;
• PostgreSQL-Fehler, die zeitlich mit Aufrufen des verwundbaren Endpunkts zusammenfallen;
• Abfragen, die nicht zum normalen Betrieb von Switchvox passen;
• unerwartete Änderungen an Tabellen, Benutzern, Berechtigungen oder Konfigurationen;
• Prozesse, Dateien und Netzwerkverbindungen, die sich nicht auf reguläre Aktivitäten zurückführen lassen;
• von Horizon3 veröffentlichte Indicators of Compromise.

Das Vorhandensein verdächtiger Payloads belegt nicht automatisch, dass Code ausgeführt wurde. Es erfordert jedoch eine Korrelation mit Anwendungs-, Datenbank-, Betriebssystem- und Perimeter-Logs. Beweismittel sollten außerdem gesichert werden, bevor die Appliance neu gestartet oder neu installiert wird.

Die CISA fordert dazu auf, die Internet-Exposition jedes Assets zu bewerten, die Abhilfemaßnahmen des Herstellers umzusetzen und die Vorgaben aus BOD 26-04 einzuhalten. Für Switchvox und andere Produkte, die dieser Vorgabe unterliegen, ist das forensic triage Bestandteil der Behebung und keine optionale nachgelagerte Aktivität.

Dasselbe KEV-Update umfasst sechs weitere ausgenutzte Schwachstellen

Am 2. September 2026 nahm die CISA neben der Switchvox-Schwachstelle sechs weitere Schwachstellen in den KEV-Katalog auf. Vier davon haben den 5. September 2026 als Frist:

• CVE-2026-82329, CVSS 9.8, betrifft JFrog Artifactory und kann es einem nicht authentifizierten Angreifer ermöglichen, in der Standardkonfiguration administrative Berechtigungen zu erlangen.
• CVE-2026-83548, CVSS 10.0, ist eine Server-Side Request Forgery in SonicWall-SMA1000-Appliances und kann ohne Authentifizierung ausgenutzt werden.
• CVE-2026-83549, CVSS 7.8, betrifft ebenfalls SMA1000 und ermöglicht einem Angreifer mit Administratorauthentifizierung eine Command Injection.
• CVE-2026-49869, CVSS 10.0, betrifft Kestra OSS. Eine Suffix-Prüfung in der Komponente AuthenticationFilter ermöglicht es, die Basic Auth zu umgehen und beliebige Workflows zu erstellen. Die Ausführung von Shell- oder Python-Plugins kann den Bypass in eine Befehlsausführung umwandeln. Der NVD-Eintrag nennt kestra < 1.0.45, während die Beschreibung die Versionen 1.0.45 und 1.3.21 als behoben aufführt.

Für diese Schwachstellen fordert die CISA ebenfalls ein forensisches Triage, darunter für die beiden SonicWall-Schwachstellen, Kestra und Switchvox.

Für die beiden übrigen Schwachstellen gilt der 16. September 2026 als Frist:

• CVE-2026-48710, CVSS 6.5, betrifft Starlette und mehrere Red-Hat-Produkte. Ein manipulierter Host-Header kann eine Abweichung zwischen dem tatsächlichen HTTP-Pfad und request.url.path erzeugen und dadurch Kontrollen umgehen, die auf der rekonstruierten URL basieren. NVD listet encode starlette < 1.0.1, während die Beschreibung mindestens Version 1.0 empfiehlt. Die Angaben sind somit nicht vollständig konsistent. Die CISA weist außerdem auf eine mögliche Verkettung mit CVE-2026-42271 hin, die sich seit dem 8. Juni 2026 im KEV befindet und deren Frist auf den 22. Juni 2026 festgelegt war.
• CVE-2026-59822, CVSS 8.2, betrifft LiteLLM vor Version 1.84.0. Ein gefälschter Bearer-Token kann einen OAuth2-Fallback auslösen und den Zugriff auf MCP-Tools ermöglichen, ohne dass ein gültiger LiteLLM-Schlüssel vorhanden ist. Die Schwachstelle ist in Version 1.84.0 behoben.

Die Ausnutzung von Starlette soll im Mai begonnen haben. Die Kestra-Schwachstelle wurde im Juni veröffentlicht, während kürzlich Versuche gegen LiteLLM in Honeypots beobachtet wurden. In den vergangenen 90 Tagen wurden außerdem CVE-2015-5287 und CVE-2015-3246 am 26. August 2026 sowie CVE-2026-34486 am 4. August 2026 in den KEV aufgenommen. Sie werden denselben Hersteller-Ökosystemen von Red Hat, LiteLLM und Encode zugeordnet.

Für Switchvox-Administratoren bleibt die Priorität jedoch eindeutig: mindestens auf 8.4.0.2 aktualisieren, die Erreichbarkeit des Endpunkts /pa prüfen und umgehend ein forensisches Triage durchführen. Der Patch schließt die Schwachstelle. Nur eine Untersuchung kann feststellen, ob sie bereits ausgenutzt wurde.