Sangoma Switchvox sous attaque : une injection SQL critique permet l’exécution de code à distance

CVE-2026-9586 est déjà exploitée et impose une réaction immédiate

Une vulnérabilité critique de Sangoma Switchvox est exploitée dans le cadre d’attaques réelles contre des systèmes exposés. La faille, identifiée sous le nom CVE-2026-9586, permet à un attaquant distant et non authentifié d’envoyer une seule requête spécialement forgée et d’exécuter des commandes sur la base de données PostgreSQL de l’application.

L’activité malveillante a été détectée par Horizon3, qui a également publié des indicateurs de compromission afin d’aider les organisations à rechercher d’éventuelles intrusions. Le contenu exact de ces IoC n’est pas connu, mais leur disponibilité justifie leur intégration aux activités de threat hunting.

La CISA a ajouté CVE-2026-9586 à son catalogue Known Exploited Vulnerabilities (KEV) le 2 septembre 2026. Pour les agences fédérales américaines, la date limite de remédiation est fixée au 5 septembre 2026.

Il ne s’agit donc pas d’une vulnérabilité purement théorique. Les installations accessibles depuis Internet, en particulier celles qui exécutent encore une version vulnérable, doivent être considérées comme potentiellement compromises et faire l’objet d’une analyse forensique.

Le champ de la CISA relatif à une utilisation dans des campagnes de ransomware est défini sur « Unknown ». Aucun lien confirmé avec des opérations de ransomware n’a donc été établi, mais cette information ne permet pas non plus de l’exclure. La CISA exige explicitement la réalisation du forensic triage prévu par la directive BOD 26-04.

La requête XML qui transforme PhoneIP en injection SQL

La faille se situe dans le point de terminaison /pa de Switchvox, chargé de traiter des contenus XML dont l’élément initial est <PolycomIPPhone>. Dans la requête, la valeur contrôlée par l’utilisateur PhoneIP est intégrée aux requêtes PostgreSQL sans neutralisation adéquate ni paramétrage.

Un attaquant peut ainsi construire un document XML dans lequel PhoneIP contient une syntaxe SQL. Lorsque Switchvox traite la requête, le contenu malveillant est directement intégré à l’instruction envoyée à la base de données.

L’attaque présente des conditions particulièrement favorables :

• elle peut être menée à distance via le réseau ;
• elle ne nécessite aucune authentification ;
• sa complexité est faible ;
• elle ne dépend d’aucune interaction de l’utilisateur ;
• elle peut être menée à bien au moyen d’une seule requête spécialement conçue.

Un accès arbitraire à PostgreSQL permet de lire ou de modifier des informations, d’altérer le fonctionnement de l’application et de compromettre la disponibilité, l’intégrité et la confidentialité des données. Dans certaines conditions, la chaîne d’exploitation peut aller jusqu’à l’exécution de code à distance sur le système ciblé.

La vulnérabilité est classée CWE-89, qui concerne la non-neutralisation des éléments spéciaux intégrés à une commande SQL. La note NVD est de 9,8 selon CVSS 3.1, avec le vecteur suivant :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Un article de presse attribue toutefois à la faille une note de 9,3. La valeur technique indiquée dans l’avis NVD est 9,8, mais cette divergence doit être prise en compte lors de la comparaison entre les scanners, les bulletins de sécurité et les systèmes de priorisation.

Quelles versions mettre à jour et quelle build vérifier en priorité

La définition NVD considère comme vulnérables les versions de Sangoma Switchvox antérieures à la 8.4.0.2. La fiche mentionne également de manière spécifique Switchvox SMB Edition 8.3, build 104997.

La version 8.4.0.2, publiée le 14 juillet 2026, constitue la référence à vérifier pour le correctif. Les administrateurs doivent donc effectuer la mise à niveau vers cette version au minimum, après avoir contrôlé la compatibilité, les sauvegardes et les consignes opérationnelles de Sangoma.

L’installation du correctif ne suffit pas pour les systèmes exposés. Puisque CVE-2026-9586 est déjà exploitée, une mise à jour peut fermer le point d’entrée sans révéler qu’un attaquant l’a utilisé auparavant.

Les organisations doivent recenser immédiatement les appliances Switchvox, notamment les instances oubliées, les environnements de test et les interfaces publiées via NAT ou reverse proxy. Si aucune mesure d’atténuation n’est applicable, la CISA recommande d’interrompre l’utilisation du produit.

Aucun contournement spécifique se substituant à la mise à jour n’a été communiqué. En l’absence de mesure officielle, restreindre l’accès réseau peut réduire l’exposition, mais cela ne remplace ni le correctif ni l’analyse d’une éventuelle compromission.

Que rechercher dans les journaux et la base de données PostgreSQL

Le triage doit commencer par l’examen des requêtes HTTP adressées à /pa, en se concentrant sur les charges XML contenant <PolycomIPPhone>. Une attention particulière doit être portée aux valeurs anormales ou inattendues associées à PhoneIP.

Les éléments à rechercher comprennent notamment :

• des requêtes inhabituelles vers /pa, en particulier depuis des adresses IP jamais observées auparavant ;
• des caractères et des constructions SQL dans la valeur PhoneIP ;
• des erreurs PostgreSQL correspondant à des appels au point de terminaison vulnérable ;
• des requêtes incompatibles avec le fonctionnement normal de Switchvox ;
• des modifications inattendues de tables, d’utilisateurs, de privilèges ou de configurations ;
• des processus, fichiers et connexions réseau ne correspondant pas à l’activité habituelle ;
• les indicateurs publiés par Horizon3.

La présence de charges suspectes ne prouve pas automatiquement qu’une exécution de code a eu lieu, mais elle nécessite une corrélation avec les journaux applicatifs, la base de données, le système d’exploitation et les équipements périmétriques. Les preuves doivent également être préservées avant tout redémarrage ou toute réinstallation de l’appliance.

La CISA demande d’évaluer l’exposition Internet de chaque actif, d’appliquer les mesures d’atténuation du fabricant et de respecter les exigences de la directive BOD 26-04. Pour Switchvox et les autres produits concernés, le forensic triage fait partie intégrante de la remédiation et ne constitue pas une activité facultative à effectuer ultérieurement.

La même mise à jour du KEV comprend six autres failles exploitées

Le 2 septembre 2026, la CISA a ajouté six autres vulnérabilités au KEV, en plus de celle de Switchvox. Quatre d’entre elles ont une date limite fixée au 5 septembre 2026 :

• CVE-2026-82329, CVSS 9,8, concerne JFrog Artifactory et peut permettre à un attaquant non authentifié d’obtenir des privilèges d’administration dans la configuration par défaut.
• CVE-2026-83548, CVSS 10,0, est une server-side request forgery affectant les appliances SonicWall SMA1000 et exploitable sans authentification.
• CVE-2026-83549, CVSS 7,8, concerne également SMA1000 et permet à un attaquant authentifié en tant qu’administrateur d’effectuer une command injection.
• CVE-2026-49869, CVSS 10,0, affecte Kestra OSS. Un contrôle de suffixe dans le composant AuthenticationFilter permet de contourner la Basic Auth et de créer des workflows arbitraires. L’exécution de plugins shell ou Python peut transformer ce contournement en exécution de commandes. La liste NVD indique kestra < 1.0.45, tandis que la description précise que les versions 1.0.45 et 1.3.21 sont corrigées.

Pour ces vulnérabilités, la CISA exige également un triage forensique, notamment pour les deux failles SonicWall, Kestra et Switchvox.

Les deux autres ont une date limite fixée au 16 septembre 2026 :

• CVE-2026-48710, CVSS 6,5, concerne Starlette et plusieurs produits Red Hat. Un en-tête Host manipulé peut créer une divergence entre le chemin HTTP réel et request.url.path, contournant ainsi les contrôles fondés sur l’URL reconstruite. NVD liste encode starlette < 1.0.1, mais la description recommande une version au moins égale à 1.0 : les indications ne sont pas parfaitement alignées. La CISA signale également une possible chaîne d’exploitation avec CVE-2026-42271, présente dans le KEV depuis le 8 juin 2026, avec une échéance fixée au 22 juin 2026.
• CVE-2026-59822, CVSS 8,2, concerne LiteLLM avant la version 1.84.0. Un jeton Bearer contrefait peut activer un mécanisme de repli OAuth2 et permettre d’accéder aux outils MCP sans clé LiteLLM valide. Le correctif est disponible dans la version 1.84.0.

Pour Starlette, l’exploitation aurait commencé en mai ; la vulnérabilité de Kestra a été divulguée en juin, tandis que des tentatives visant LiteLLM ont récemment été observées dans des honeypots. Au cours des 90 derniers jours, CVE-2015-5287 et CVE-2015-3246 ont également été ajoutées au KEV le 26 août 2026, ainsi que CVE-2026-34486 le 4 août 2026. Ces vulnérabilités sont associées aux mêmes écosystèmes de fournisseurs : Red Hat, LiteLLM et Encode.

Pour les administrateurs de Switchvox, la priorité reste toutefois claire : mettre à jour vers la 8.4.0.2 au minimum, contrôler l’exposition du point de terminaison /pa et lancer immédiatement le triage forensique. Le correctif ferme la faille. Seule l’analyse permet de déterminer si elle a déjà été exploitée.