Switchvox unter Angriff: Kritische SQL-Injection installiert Reverse Shell ohne Zugangsdaten

Bedrohungsakteure nutzen CVE-2026-9586 aus, eine kritische Schwachstelle in der Sangoma Switchvox SMB Edition, über die ein Server mit nur einer Anfrage und ohne Authentifizierung kompromittiert werden kann.

Horizon3.ai stellte ab dem 30. August 2026 erfolgreiche Exploit-Versuche fest. Die in Honeypots beobachteten Angriffe beschränkten sich nicht auf eine Prüfung der Schwachstelle: Sie installierten Reverse Shells und führten Base64-kodierte Befehle zur Auflistung aktiver Prozesse aus.

Die Schwachstelle hat einen CVSS-Score von 9,3 von 10; ein Patch ist bereits verfügbar. Administratoren, die über das Internet erreichbare Switchvox-Systeme betreiben, sollten sowohl die Aktualisierung als auch die Suche nach möglichen Kompromittierungsspuren als dringend betrachten.

Welche Switchvox-Versionen sind verwundbar?

CVE-2026-9586 betrifft die Sangoma Switchvox SMB Edition 8.3 (104997). Der offizielle CVE-Eintrag stuft alle Releases ab dieser Version bis einschließlich der Versionen vor 8.4.0.2 als verwundbar ein.

Die korrigierte Version ist daher:

• Switchvox SMB Edition 8.4.0.2

Sangoma veröffentlichte dieses Release am 14. Juli 2026. Der CVE wurde anschließend am 17. Juli 2026 öffentlich gemacht. Seit diesem Datum wurden keine weiteren Aktualisierungen registriert.

Das Update ist die offiziell verfügbare Gegenmaßnahme. Es wurden keine spezifischen Workarounds genannt, mit denen sich die Schwachstelle bei weiterem Betrieb einer älteren Version neutralisieren lässt.

Horizon3.ai schätzt, dass etwa 4.000 Switchvox-Instanzen direkt aus dem Internet erreichbar sind, die meisten davon in den Vereinigten Staaten. Diese Zahl wird von den CVE- oder NVD-Einträgen nicht bestätigt, vermittelt jedoch eine Größenordnung der potenziell exponierten Angriffsfläche.

Bei einem geschäftlich genutzten VoIP-System können die Auswirkungen über die Telefonie hinausgehen. Switchvox kann als Zugang zur Datenbank, zur Administrationsoberfläche und zum zugrunde liegenden Anwendungsserver dienen.

Der Parameter PhoneIP landet in PostgreSQL-Abfragen

Die Schwachstelle befindet sich im Endpunkt /pa, der zur Verarbeitung anfänglicher XML-Inhalte mit dem Element <PolycomIPPhone> verwendet wird.

Im Rahmen dieser Verarbeitung wird der vom Client kontrollierte Wert PhoneIP direkt in Abfragen an die PostgreSQL-Datenbank übernommen. Die Anwendung führt keine ausreichende Bereinigung durch und verwendet keine korrekt parametrisierten Abfragen.

Ein Angreifer kann daher eine Anfrage erstellen, die die von der Anwendung erwartete SQL-Syntax verändert. Dafür sind weder Zugangsdaten noch eine bestehende Sitzung oder eine Benutzerinteraktion erforderlich.

Mit einer einzigen präparierten Anfrage ist es möglich:

• beliebige SQL-Anweisungen auszuführen;
• gespeicherte Daten zu lesen oder zu verändern;
• Konten und Berechtigungen zu manipulieren;
• vom Datenbankzugriff zur Codeausführung auf dem Server überzugehen.

Horizon3.ai zufolge kann der Code mit den Berechtigungen des PostgreSQL-Superusers ausgeführt werden. Dieses konkrete Berechtigungsniveau wird in den verfügbaren NVD- und CVE-Informationen nicht erwähnt; diese bestätigen jedoch, dass eine Remote-Codeausführung möglich ist.

Die Schwachstelle ist als CWE-89 klassifiziert und betrifft die unzureichende Neutralisierung spezieller Elemente in einem SQL-Befehl. Als verantwortliche CNA ist Security Risk Advisors eingetragen.

Der vollständige Vektor lautet:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Die CVSS-4.0-Bewertung beschreibt einen über das Netzwerk ausführbaren Angriff mit geringer Komplexität, ohne technische Voraussetzungen, Berechtigungen oder Aktionen des Opfers. Die Auswirkungen auf das verwundbare System sind in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit hoch.

Von der Datenbankextraktion zur Fälschung von Sitzungen

Die Forscher von Security Risk Advisors Labs demonstrierten eine Angriffskette, die weit über eine einfache missbräuchliche Datenbankabfrage hinausgeht.

Über CVE-2026-9586 konnten sie PostgreSQL-Inhalte extrahieren, Benutzerdatensätze verändern und Berechtigungen erlangen, die denen von Switchvox-Webadministratoren entsprechen. Außerdem führten sie beliebigen Code aus und öffneten eine Reverse Shell auf dem Zielsystem.

Ein weiteres Szenario betrifft den Schlüssel, den Switchvox zum Signieren von Sitzungscookies verwendet. Die Schwachstelle ermöglicht es, diesen Schlüssel zu stehlen und an einen externen Server zu übertragen.

Mit dem erlangten Schlüssel kann ein Angreifer scheinbar gültige Authentifizierungsdaten für beliebige ausgewählte Benutzer erstellen. Das bloße Ändern der Passwörter reicht nach einer Kompromittierung daher möglicherweise nicht aus: Auch die Integrität des Signaturschlüssels und der bestehenden Sitzungen muss überprüft werden.

Die von Honeypots abgefangenen Angriffe zeigen, dass diese Möglichkeiten nicht nur theoretischer Natur sind. Die Payloads versuchten, Reverse Shells zu installieren und damit einen dauerhaften oder interaktiven Fernzugriff auf das betroffene System einzurichten.

Außerdem wurden Base64-kodierte Befehle zur Prozessaufzählung beobachtet. Die Kodierung stellt keine Verschlüsselung dar, kann aber die Analyse der Befehle in Protokollen oder bei Prüfungen erschweren, die auf einfachen Textübereinstimmungen basieren.

Nach welchen Indikatoren sollten exponierte Systeme durchsucht werden?

Eine der mit den beobachteten Angriffen in Verbindung stehenden IP-Adressen lautet:

176.65.148[.]184

Die IP-Adresse wird auf VirusTotal außerdem mit Port-Scanning, Brute-Force-Angriffen und der Ausnutzung von Schwachstellen in Verbindung gebracht. Sie darf nicht als vollständiger Indikator betrachtet werden, da andere Angreifer eine abweichende Infrastruktur verwenden können.

Auf Geräten mit aktiviertem SSH-Zugriff können Spuren der SQL-Payloads in der folgenden Datei gesucht werden:

/var/log/switchvox/db-quirks.log

Administratoren sollten mindestens die folgenden Elemente untersuchen:

1. ungewöhnliche Anfragen an den Endpunkt /pa;
2. verdächtige XML-Inhalte im Zusammenhang mit <PolycomIPPhone>;
3. ungewöhnliche Werte oder SQL-Syntax im Parameter PhoneIP;
4. Verbindungen von oder zu 176.65.148[.]184;
5. nicht vorgesehene Shells, Prozesse oder vom Server gestartete Dienste;
6. Base64-kodierte Befehle, insbesondere wenn sie mit einer Prozessauflistung verbunden sind;
7. kürzlich vorgenommene und nicht autorisierte Änderungen an Konten oder Administratorberechtigungen;
8. ausgehende Verbindungen, die nicht zum normalen Betrieb der Telefonanlage passen;
9. mögliche Zugriffe auf, Exporte oder Ersetzungen des Cookie-Signaturschlüssels.

Das schnelle Auftreten derselben IP-Adresse bei mehreren Honeypots deutet auf eine automatisierte Aktivität hin. Nach Einschätzung des Forschers Zach Hanley ist es daher wahrscheinlich, dass viele öffentlich erreichbare Instanzen bereits gescannt wurden oder noch gescannt werden.

Das Ausbleiben einer Verbindung zu der bekannten IP-Adresse beweist nicht, dass das System sauber ist. Die Überprüfung muss die Anwendung, die Datenbank, Administratorkonten, Prozesse des Betriebssystems und den Netzwerkverkehr umfassen.

Ein Update reicht nicht aus, wenn der Exploit bereits erfolgreich war

Die erste Maßnahme besteht darin, Switchvox unverzüglich auf die Version 8.4.0.2 zu aktualisieren. Alle Installationen von 8.3 (104997) bis zu den Versionen vor dem Patch müssen als verwundbar betrachtet werden.

Nicht aktualisierte und direkt aus dem Internet erreichbare Instanzen haben höchste Priorität. Falls das Update nicht sofort eingespielt werden kann und kein dokumentierter Workaround verfügbar ist, sollte die öffentliche Erreichbarkeit zumindest durch Netzwerkzugriffskontrollen reduziert werden, die den betrieblichen Anforderungen entsprechen.

Nach der Installation des Patches ist weiterhin eine Incident-Response-Maßnahme erforderlich. Die Korrektur verhindert neue Angriffsversuche über diese Schwachstelle, entfernt jedoch keine Reverse Shells, manipulierten Konten oder anderen bereits vorgenommenen Änderungen.

Bei verdächtigen Indikatoren sollte das System isoliert, die Protokolle gesichert und die Integrität der Datenbank überprüft werden. Ebenfalls zu kontrollieren sind Webadministratoren, aktive Sitzungen und der zum Signieren der Cookies verwendete Schlüssel.

In den verfügbaren Daten findet sich kein Hinweis darauf, dass CVE-2026-9586 in den Katalog Known Exploited Vulnerabilities der CISA aufgenommen wurde. Ebenso ist keine bundesweite Frist zur Behebung dokumentiert. Es liegen auch keine ausreichenden Informationen vor, um den Fall mit anderen aktuellen KEV-Aufnahmen zu Sangoma in Verbindung zu bringen.

Das Fehlen einer dokumentierten CISA-Frist mindert jedoch nicht die technische Dringlichkeit. Die Ausnutzung wurde konkret beobachtet und ermöglicht eine Codeausführung ohne Zugangsdaten. Für exponierte Installationen muss CVE-2026-9586 als potenzielle Kompromittierung behandelt werden, nicht als rein theoretische Schwachstelle.