Die Schwachstelle CVE-2026-9586 in Sangoma Switchvox, einer Lösung zur Verwaltung von VoIP-Telefonie im Unternehmensumfeld, wird nach Angaben von Horizon3 und CISA bereits von Angreifern ausgenutzt. Der Fehler ist mit einem CVSS-Wert von 9,3 als kritisch eingestuft und als SQL-Injection ohne Authentifizierung beschrieben.
Technisch liegt das Problem in einem Endpunkt, der XML-Inhalte entgegennimmt. Der von Nutzerseite steuerbare Wert PhoneIP wird ohne Bereinigung oder Parametrisierung in PostgreSQL-Abfragen zusammengesetzt. Ein Hinweis des NIST beschreibt die Folgen deutlich: Ein nicht authentifizierter Angreifer aus der Ferne könne mit einer einzigen präparierten Anfrage beliebige SQL-Anweisungen gegen die PostgreSQL-Datenbank ausführen, inklusive Datenbankoperationen und Codeausführung aus der Ferne.
Horizon3 warnte an einem Dienstag vor der laufenden Ausnutzung und stellte Kompromittierungsindikatoren bereit, damit Betreiber mögliche Einbrüche in ihren Umgebungen aufspüren können. Am darauffolgenden Tag ergänzte CISA ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) um den Switchvox-Fehler und sechs weitere Einträge.
Zu diesen zählen ein Fehler in JFrog Artifactory sowie zwei Zero-Day-Lücken in SonicWall SMA1000, die kürzlich als ausgenutzt gemeldet worden waren. Als fünfter Eintrag kam CVE-2026-48710 hinzu, eine Schwachstelle für HTTP-Request- und Response-Smuggling im schlanken ASGI-Framework Starlette. Sie wurde im Mai öffentlich gemacht; laut Horizon3 wird sie seit Mai ausgenutzt, worauf die Firma Anfang Juni hinwies.
Ebenfalls neu im KEV-Katalog ist CVE-2026-49869, eine als kritisch bewertete Command-Injection in der quelloffenen Orchestrierungsplattform Kestra. Die Lücke wurde im Juni offengelegt und kürzlich von Microsoft als ausgenutzt gekennzeichnet. Den letzten Platz auf der Liste belegt CVE-2026-59822, eine als hoch eingestufte Umgehung der Authentifizierung in LiteLLM. Wiz hatte kürzlich mitgeteilt, dass die eigenen Honeypots Ausnutzungsversuche gegen diese Schwachstelle registriert haben.
CISA fordert US-Bundesbehörden auf, die betroffenen Produkte innerhalb von drei Tagen zu patchen. Ausgenommen sind die Lücken in Kestra und Starlette, für die eine Frist von zwei Wochen gilt – entsprechend den Vorgaben der Direktive BOD 26-04.