Krytyczna luka w Switchvox już jest wykorzystywana

Switchvox pod ostrzałem

W Sangoma Switchvox, platformie VoIP używanej głównie w środowiskach SMB, wykryto krytyczną lukę umożliwiającą zdalne wykonanie kodu bez uwierzytelnienia. Problem oznaczony jako CVE-2026-9586 otrzymał ocenę CVSS 9.3 i już jest wykorzystywany w realnych atakach.

Według dostępnych informacji pierwsze próby ataków pojawiły się 30 sierpnia 2026 r., a podatnych instancji wystawionych do Internetu jest około 4 tysięcy. Najwięcej z nich znajduje się w Stanach Zjednoczonych.

Na czym polega błąd

Podatność dotyczy endpointu /pa, który przetwarza treści XML zaczynające się od PolycomIPPhone. W tym mechanizmie wartość PhoneIP trafia bez odpowiedniego filtrowania i parametryzacji do zapytań PostgreSQL. To klasyczny przypadek SQL injection, sklasyfikowany jako CWE-89.

W praktyce oznacza to, że atakujący może:

• wykonać dowolne zapytania SQL wobec bazy danych,
• odczytywać i modyfikować zawartość bazy,
• eskalować uprawnienia,
• a nawet doprowadzić do uruchomienia własnego kodu na serwerze.

W opisanych testach udało się także uzyskać działania z uprawnieniami superusera PostgreSQL.

Reverse shell i dalsza faza ataku

W obserwowanych kampaniach atakujący wdrażali na przejętych systemach reverse shell. Później wykonywali zakodowane w Base64 polecenia służące do rozpoznania środowiska, w tym listowania procesów uruchomionych na serwerze.

To typowy etap post-exploitation: najpierw uzyskanie dostępu, potem szybkie sprawdzenie, co jeszcze można przejąć i jak utrzymać obecność w systemie.

Co może zostać ujawnione

Jednym z bardziej niebezpiecznych scenariuszy jest wykradzenie cookie signing key, czyli klucza używanego do podpisywania ciasteczek sesyjnych. Jeśli napastnik zdobędzie taki sekret, może próbować fałszować materiały uwierzytelniające dla dowolnych użytkowników.

To oznacza ryzyko przejęcia kont administracyjnych i dostępu do panelu zarządzania bez klasycznego logowania.

Jakie ślady zostawiają atakujący

Wśród wskaźników kompromitacji wskazano:

• adres IP 176.65.148.184,
• wpisy związane z próbą exploita w pliku /var/log/switchvox/db-quirks.log na urządzeniach z włączonym SSH.

Ten sam adres IP był już kojarzony ze skanowaniem portów, brute-force i próbami eksploatacji.

Łatka już istnieje, ale trzeba ją wdrożyć

Producent udostępnił poprawkę w wersji Switchvox 8.4.0.2, opublikowanej 14 lipca 2026 r.. Chronologia jest więc niepokojąca: luka została zgłoszona w kwietniu, poprawiona w lipcu, a pod koniec sierpnia pojawiły się pierwsze potwierdzone próby jej nadużywania w sieci.

Co powinni zrobić administratorzy

Najważniejsze działanie to natychmiastowa aktualizacja do Switchvox 8.4.0.2 lub nowszej. Do czasu wdrożenia poprawki warto:

• ograniczyć dostęp do interfejsów administracyjnych,
• odciąć ekspozycję usług HTTP od zaufanych sieci,
• stosować segmentację i VPN,
• monitorować nietypowe połączenia wychodzące,
• szukać śladów reverse shelli i poleceń typu curl, bash czy nc uruchamianych przez usługi webowe.

Jeśli system mógł zostać naruszony, samo załatanie podatności nie wystarczy. Trzeba też zmienić powiązane hasła i sekrety, a następnie przeprowadzić analizę forensic, by ustalić skalę incydentu.