黑客利用 Sangoma Switchvox 漏洞部署反向 Shell

攻击者正在积极利用 CVE-2026-9586，这是 Sangoma Switchvox VoIP 平台中的一个未认证 SQL 注入漏洞，可导致远程代码执行。
据 Horizon3 的安全研究人员称，大多数暴露在互联网上的 Switchvox 系统要么已经被攻击，要么很快就会受到攻击。
Switchvox 是一个企业级 VoIP 管理平台，用于配置和监控企业电话系统。
CVE-2026-9586 是 Horizon3 发现并于 4 月 10 日报告给 Sangoma 的 12 个漏洞中最严重的一个。该供应商在 7 月 14 日发布的 Switchvox 8.4.0.2 版本中修复了这些漏洞。
该漏洞是 Sangoma Switchvox 的 /pa HTTP 端点中的一个未认证 SQL 注入问题。研究人员解释说，该端点暴露在外，并解析包含特定键值对的 XML 消息。
当 /pa 收到通知另一个电话系统（例如来电或去电事件）的请求时，它会从 XML 消息中提取 PhoneIP 字段，并将其值直接拼接到一个未参数化的 SQL 查询中。
研究人员证明，可以通过使用 curl 命令发送精心构造的 XML 请求，远程利用此 SQL 注入来执行操作系统命令。
8 月 30 日，Horizon3 的蜜罐观察到来自单个源 IP 地址（176.65.148.184）对多个系统快速连续进行的主动利用，攻击者试图建立反向 Shell。
在这些尝试中，攻击者执行了初始有效载荷，然后收集了 Switchvox 系统上运行的顶级进程信息。然后这些数据以 base64 编码形式传输到远程服务器。
"鉴于来自同一源 IP 的利用尝试在多个蜜罐上快速连续出现，我们相信大多数暴露在互联网上的 Switchvox 实例很可能已经或即将成为目标，"Horizon3 警告道。
"目前 Shodan 显示互联网上约有 4,000 台设备，其中大部分位于美国。"
Horizon3 表示，其尚未观察到之前发现的其余 11 个漏洞被主动利用。
随着 CVE-2026-9586 被积极利用，建议系统管理员尽快升级到 Switchvox 8.4.0.2 或更高版本，并同时检查是否已被攻击的迹象。
被入侵的迹象包括可疑语句以及到观察到的攻击者 IP（特别是端口 39323）的网络连接。