Über die VoIP-Telefonanlage Switchvox von Sangoma können Angreifer ohne jede Anmeldung die vollständige Kontrolle über den Server übernehmen – und genau das geschieht bereits. Seit dem 30. August 2026 registrieren Honeypots aktive Angriffe auf die Schwachstelle CVE-2026-9586. Am 1. September legten Sicherheitsforscher von Horizon3.ai die technischen Details offen, was die Einstiegshürde für weitere Angreifer deutlich senkt.
Was die Lücke so gefährlich macht
Bei CVE-2026-9586 handelt es sich um eine unauthentifizierte SQL-Injection, die sich zu Remote-Code-Execution ausbauen lässt. Der ungeschützte Endpunkt /pa verarbeitet XML-Nachrichten von IP-Telefonen und schreibt das Feld PhoneIP ohne jede Bereinigung direkt in eine PostgreSQL-Abfrage. Eine einzige präparierte HTTP-Anfrage genügt, um Befehle mit Datenbank-Superuser-Rechten auszuführen. Die Schwachstelle ist mit einem CVSS-4.0-Score von 9.3 als kritisch eingestuft.
Betroffene Systeme und laufende Angriffe
Verwundbar ist die Switchvox SMB Edition 8.3 (Build 104997). Laut Horizon3.ai sind rund 4.000 Anlagen aus dem Internet erreichbar, der Großteil davon in den USA. In beobachteten Angriffen luden die Täter zunächst Reverse-Shells nach und führten anschließend Aufklärungsbefehle aus, um Prozess- und Systeminformationen abzugreifen. Da es sich um eine unauthentifizierte Lücke ohne jede Nutzerinteraktion handelt, lässt sich der Angriff leicht automatisieren. Der Vorfall gilt weiterhin als laufend – der Stand ist vorläufig.
Das sollten Administratoren jetzt tun
- Umgehend auf Switchvox 8.4.0.2 (veröffentlicht am 14. Juli 2026) aktualisieren.
- Den Endpunkt
/paper Firewall oder Reverse-Proxy von außen sperren, bis der Patch eingespielt ist. - Logs auf verdächtige POST-Anfragen an
/paund ungewöhnliche ausgehende Verbindungen prüfen.
Quellen: Horizon3.ai – CVE-2026-9586 Disclosure, SecurityOnline, SentinelOne Vulnerability Database.
