Die Schwachstelle steckt im HTTP-Endpunkt /pa von Sangoma Switchvox. Dieser ist nach außen erreichbar und verarbeitet XML-Nachrichten mit bestimmten Schlüssel-Wert-Paaren. Erhält /pa eine Anfrage, die ein anderes Telefonsystem über ein Ereignis wie einen eingehenden oder ausgehenden Anruf informieren soll, liest er das Feld PhoneIP aus der XML-Nachricht aus und fügt dessen Wert direkt in eine nicht parametrisierte SQL-Abfrage ein.
Horizon3 zeigte, dass sich diese SQL-Injection aus der Ferne bis zur Ausführung von Betriebssystembefehlen ausbauen lässt — es genügt eine speziell präparierte XML-Anfrage, die die Forscher per curl abschickten.
In den beobachteten Angriffen führten die Täter zunächst eine erste Schadfunktion aus und sammelten anschließend Informationen über die ressourcenintensivsten Prozesse auf dem Switchvox-System. Diese Daten wurden base64-kodiert an einen entfernten Server übertragen. Ziel der Aktivitäten war der Aufbau einer Reverse Shell.
„Angesichts der schnellen Folge von Ausnutzungsversuchen über mehrere Honeypots hinweg von derselben Quell-IP halten wir es für wahrscheinlich, dass die meisten aus dem Internet erreichbaren Switchvox-Instanzen angegriffen werden oder bereits angegriffen wurden", warnt Horizon3. Und weiter: „Shodan zeigt derzeit etwa 4.000 Geräte im Internet, die meisten davon in den Vereinigten Staaten."
CVE-2026-9586 ist die gravierendste von insgesamt zwölf Schwachstellen, die Horizon3 in Switchvox fand und am 10. April an Sangoma übermittelte. Der Hersteller schloss sie mit der am 14. Juli veröffentlichten Version 8.4.0.2. Für die übrigen elf Lücken hat Horizon3 bislang keine aktive Ausnutzung beobachtet.
Administratoren sollten daher möglichst schnell auf Switchvox 8.4.0.2 oder eine neuere Version aktualisieren. Bis dahin empfiehlt Horizon3, die Systeme auf Anzeichen eines Angriffs zu prüfen. Verdächtige Einträge in der Datei /var/log/switchvox/db-quirks.log gelten als Hinweis auf eine Kompromittierung, ebenso Netzwerkverbindungen zur beobachteten Angreifer-IP 176.65.148.184 — insbesondere über Port 39323.