Switchvox sotto attacco: SQL injection critica installa reverse shell senza credenziali

Attori malevoli stanno sfruttando CVE-2026-9586, una vulnerabilità critica di Sangoma Switchvox SMB Edition che consente di compromettere il server con una sola richiesta, senza autenticazione.

Horizon3.ai ha rilevato tentativi di exploit validi a partire dal 30 agosto 2026. Gli attacchi osservati sugli honeypot non si sono limitati a verificare la presenza della falla: hanno installato reverse shell ed eseguito comandi codificati in Base64 per enumerare i processi attivi.

La vulnerabilità ha un punteggio CVSS 9.3 su 10 ed è già disponibile una correzione. Gli amministratori che gestiscono sistemi Switchvox esposti su Internet dovrebbero considerare urgente sia l’aggiornamento sia la ricerca di eventuali tracce di compromissione.

Quali versioni di Switchvox sono vulnerabili

CVE-2026-9586 riguarda Sangoma Switchvox SMB Edition 8.3 (104997). Il record ufficiale del CVE definisce come vulnerabili tutte le release comprese tra quella versione e quelle precedenti alla 8.4.0.2.

La versione correttiva è dunque:

• Switchvox SMB Edition 8.4.0.2

Sangoma ha pubblicato questa release il 14 luglio 2026. Il CVE è stato poi reso pubblico il 17 luglio 2026, senza ulteriori aggiornamenti registrati dopo quella stessa data.

L’aggiornamento rappresenta la mitigazione ufficiale disponibile. Non sono stati indicati workaround specifici capaci di neutralizzare la vulnerabilità mantenendo in esercizio una versione precedente.

Horizon3.ai stima che circa 4.000 istanze Switchvox siano direttamente raggiungibili da Internet, in maggioranza negli Stati Uniti. La cifra non è confermata dai record CVE o NVD, ma offre una misura della potenziale superficie esposta.

Per un sistema VoIP aziendale, le conseguenze possono superare il perimetro della telefonia. Switchvox può diventare un accesso al database, all’interfaccia amministrativa e al server applicativo sottostante.

L’input PhoneIP finisce nelle query PostgreSQL

La vulnerabilità si trova nell’endpoint /pa, utilizzato per gestire contenuti XML iniziali contenenti l’elemento <PolycomIPPhone>.

All’interno di questa elaborazione, il valore PhoneIP, controllabile dal client, viene inserito direttamente nelle query rivolte al database PostgreSQL. L’applicazione non applica una sanitizzazione adeguata e non ricorre correttamente a query parametrizzate.

Un aggressore può quindi costruire una richiesta che altera la sintassi SQL prevista dall’applicazione. Non servono credenziali, una sessione già attiva o l’interazione di un utente.

Con una singola richiesta predisposta è possibile:

• eseguire istruzioni SQL arbitrarie;
• leggere o modificare i dati memorizzati;
• manipolare account e privilegi;
• passare dall’accesso al database all’esecuzione di codice sul server.

Horizon3.ai riferisce che il codice può essere eseguito con i privilegi del superutente PostgreSQL. Questo specifico livello di privilegio non compare nelle informazioni NVD e CVE disponibili, che confermano comunque la possibilità di arrivare all’esecuzione remota di codice.

La classificazione assegnata è CWE-89, relativa alla mancata neutralizzazione degli elementi speciali inseriti in un comando SQL. Il CNA responsabile del record è Security Risk Advisors.

Il vettore completo è:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

La valutazione CVSS 4.0 descrive un attacco eseguibile via rete, a bassa complessità, senza prerequisiti tecnici, privilegi o azioni della vittima. Gli effetti sul sistema vulnerabile sono elevati per confidenzialità, integrità e disponibilità.

Dall’estrazione del database alla falsificazione delle sessioni

I ricercatori di Security Risk Advisors Labs hanno dimostrato una catena di compromissione che va ben oltre una semplice interrogazione abusiva del database.

Attraverso CVE-2026-9586 sono riusciti a estrarre i contenuti PostgreSQL, modificare i record degli utenti e ottenere privilegi equivalenti a quelli degli amministratori Web di Switchvox. Hanno inoltre eseguito codice arbitrario e aperto una reverse shell sulla macchina bersaglio.

Un ulteriore scenario riguarda la chiave impiegata da Switchvox per firmare i cookie di sessione. La vulnerabilità consente di sottrarla e trasferirla verso un server esterno.

Una volta ottenuta la chiave, un aggressore può creare materiale di autenticazione apparentemente valido per utenti scelti arbitrariamente. La sola modifica delle password potrebbe quindi non essere sufficiente dopo una compromissione: occorre verificare anche l’integrità della chiave di firma e delle sessioni esistenti.

Gli attacchi intercettati dagli honeypot mostrano che queste capacità non sono soltanto teoriche. I payload hanno tentato di installare reverse shell, creando un canale remoto persistente o interattivo verso il sistema colpito.

Sono stati osservati anche comandi in Base64 destinati all’enumerazione dei processi. La codifica non costituisce cifratura, ma può rendere meno immediata l’analisi dei comandi nei log o nei controlli basati su semplici corrispondenze testuali.

Indicatori da cercare sui sistemi esposti

Uno degli indirizzi associati ai tentativi osservati è:

176.65.148[.]184

L’IP risulta inoltre segnalato su VirusTotal per attività di port scanning, brute force e sfruttamento di vulnerabilità. Non deve essere considerato un indicatore esaustivo: altri attaccanti possono utilizzare infrastrutture differenti.

Sui dispositivi con accesso SSH abilitato, le tracce dei payload SQL possono essere cercate nel file:

/var/log/switchvox/db-quirks.log

Gli amministratori dovrebbero esaminare almeno i seguenti elementi:

1. richieste anomale verso l’endpoint /pa;
2. contenuti XML sospetti legati a <PolycomIPPhone>;
3. valori insoliti o sintassi SQL nel parametro PhoneIP;
4. connessioni da o verso 176.65.148[.]184;
5. shell, processi o servizi non previsti avviati dal server;
6. comandi codificati in Base64, soprattutto se associati all’elenco dei processi;
7. modifiche recenti e non autorizzate ad account o privilegi amministrativi;
8. connessioni in uscita incompatibili con il normale funzionamento del centralino;
9. possibili accessi, esportazioni o sostituzioni della chiave di firma dei cookie.

La rapida comparsa dello stesso indirizzo IP contro più honeypot indica un’attività automatizzata. Secondo il ricercatore Zach Hanley, è quindi probabile che molte istanze pubblicamente raggiungibili siano già state scansionate o possano esserlo.

L’assenza di una connessione con l’IP noto non dimostra che il sistema sia pulito. La verifica deve comprendere applicazione, database, account amministrativi, processi del sistema operativo e traffico di rete.

Aggiornare non basta se l’exploit è già riuscito

La prima misura è portare immediatamente Switchvox alla versione 8.4.0.2. Tutte le installazioni dalla 8.3 (104997) fino alle release precedenti alla correzione devono essere trattate come vulnerabili.

Le istanze non aggiornate e direttamente accessibili da Internet hanno la priorità più alta. Se l’aggiornamento non può essere applicato subito, non essendo disponibile un workaround documentato, occorre almeno ridurre l’esposizione pubblica mediante controlli di rete coerenti con le esigenze operative.

Dopo l’installazione della patch resta necessaria un’attività di incident response. La correzione impedisce nuovi tentativi attraverso la falla, ma non rimuove reverse shell, account alterati o altre modifiche già introdotte.

In presenza di indicatori sospetti, è opportuno isolare il sistema, conservare i log e verificare l’integrità del database. Devono essere controllati anche gli amministratori Web, le sessioni attive e la chiave usata per firmare i cookie.

Nei dati disponibili non è indicata l’inclusione di CVE-2026-9586 nel catalogo Known Exploited Vulnerabilities della CISA, né compare una scadenza federale per la correzione. Non sono disponibili neppure elementi sufficienti per collegare il caso ad altri recenti inserimenti KEV relativi a Sangoma.

L’assenza di una scadenza CISA documentata non riduce però l’urgenza tecnica. Lo sfruttamento è stato osservato concretamente e porta fino all’esecuzione di codice senza credenziali. Per le installazioni esposte, CVE-2026-9586 deve essere gestita come una compromissione potenziale, non come una vulnerabilità soltanto teorica.