CVE-2026-9586: Kritische SQL-Injection in Sangoma Switchvox, aktiv ausgenutzt

CVE-2026-9586: Kritische SQL-Injection in Sangoma Switchvox, aktiv ausgenutzt

In Kürze

CVE-2026-9586 ist eine kritische, nicht authentifizierte SQL-Injection-Schwachstelle in Sangoma Switchvox SMB Edition 8.3 (104997), mit einem CVSS-Wert von 9.3 von 10 und als kritisch eingestufter Schweregrad [1]. Sie wurde am 17. Juli 2026 veröffentlicht [1] und ist im KEV-Katalog (Known Exploited Vulnerabilities) der CISA gelistet, was darauf hinweist, dass bereits aktive Ausnutzung in der Praxis festgestellt wurde [2]. Wenn Ihre Organisation Sangoma Switchvox als Kommunikationssystem (IP-Telefonie / PBX) einsetzt, besteht die Priorität heute darin, festzustellen, ob dieses Produkt bei Ihnen im Einsatz ist, die genaue Version zu prüfen und die Exposition des Systems zu begrenzen, während das entsprechende Sicherheitsupdate angewendet wird.

Was es ist und warum es wichtig ist

Der Fehler liegt im Endpunkt /pa von Switchvox, der XML-Inhalte verarbeitet, die mit dem Tag <PolycomIPPhone> beginnen — also Provisioning-Datenverkehr für Polycom-IP-Telefone. Der vom Benutzer kontrollierte Wert PhoneIP wird direkt in Abfragen an die PostgreSQL-Datenbank eingefügt, ohne bereinigt oder parametrisiert zu werden [1]. Dies ermöglicht es einem entfernten Angreifer, ohne Anmeldedaten zu benötigen, eine einzige manipulierte Anfrage zu senden und beliebige SQL-Anweisungen gegen die Datenbank auszuführen, einschließlich Operationen an den gespeicherten Daten und Remotecodeausführung auf dem Server [1].

Es handelt sich um eine besonders heikle Kombination: Es ist keine vorherige Authentifizierung erforderlich, sie wird durch eine einzige Anfrage ausgelöst, und die Auswirkung geht über das reine „Auslesen von Daten“ hinaus bis hin zur möglichen Kompromittierung des Servers selbst. Unser Threat-Intelligence-Radar OCIRIA hat diese Schwachstelle intern als kritisch eingestuft, in der Kategorie SQL-Injection mit Potenzial zur Remotecodeausführung; es handelt sich dabei um eine interne Analyse, die auf denselben bereits zitierten öffentlichen Daten von NVD und CISA KEV basiert, nicht um eine zusätzliche unabhängige Quelle [1][2].

Wen es betrifft

Betroffen sind speziell Organisationen, die Sangoma Switchvox SMB Edition in der Version 8.3 (104997) betreiben [1]. Switchvox ist eine Plattform für Unified Communications (IP-Telefonie, Messaging, Verwaltung von Nebenstellen), die üblicherweise als zentrales Telefoniesystem eines Unternehmens eingesetzt wird, sodass eine Kompromittierung sowohl die Verfügbarkeit der Kommunikation als auch die Vertraulichkeit der in der Datenbank gespeicherten Daten beeinträchtigen kann. Die strukturierte Faktengrundlage, von der wir ausgehen, enthält keine Daten zur Größe oder Branche der betroffenen Organisationen, daher vermeiden wir Spekulationen zu diesem Punkt: Entscheidend ist, festzustellen, ob das konkrete Produkt und die Version im Einsatz sind.

Wie Sie feststellen, ob Sie betroffen sind

• Prüfen Sie, ob Ihre Organisation Sangoma Switchvox SMB Edition im Einsatz hat, und verifizieren Sie in diesem Fall die genau installierte Version; die Schwachstelle wurde in Version 8.3 (104997) identifiziert [1].
• Überprüfen Sie, ob der Endpunkt /pa Ihrer Switchvox-Instanz von außerhalb Ihres internen Netzwerks erreichbar ist, da genau darüber der Provisioning-Datenverkehr der Telefone gesendet und verarbeitet wird, der diesen Fehler ausnutzt [1].
• Da es sich um eine nicht authentifizierte Schwachstelle handelt, die bereits aufgrund aktiver Ausnutzung im KEV-Katalog der CISA gelistet ist, sollte jede dem Internet ausgesetzte Instanz als unmittelbares Risiko behandelt werden, solange das Patchen nicht bestätigt ist [1][2].

Wie Sie sich schützen

1. Identifizieren Sie das Asset. Lokalisieren Sie alle Instanzen von Sangoma Switchvox in Ihrem Inventar und bestätigen Sie die ausgeführte Version.

2. Wenden Sie das Sicherheitsupdate des Herstellers an, sobald es für Ihre Version verfügbar ist, und priorisieren Sie dieses Patchen, da die Schwachstelle bereits aufgrund bekannter aktiver Ausnutzung im KEV-Katalog der CISA gelistet ist [2].

3. Beschränken Sie den Zugriff auf den Endpunkt /pa und generell auf die Administrationsoberfläche von Switchvox, sodass diese nur aus vertrauenswürdigen Netzwerken erreichbar ist, bis das Patchen abgeschlossen ist.

4. Prüfen Sie Zugriffe und Logs des Switchvox-Servers und der zugehörigen PostgreSQL-Datenbank auf anomale Anfragen an den Endpunkt /pa oder ungewöhnliche SQL-Aktivität, insbesondere im Zeitraum nach der Veröffentlichung der Schwachstelle (17. Juli 2026) [1].

5. Dokumentieren und überwachen Sie den Patch-Status dieses Assets im Rahmen Ihres üblichen Managements kritischer Schwachstellen, angesichts des zugewiesenen Schweregrads (CVSS 9.3, kritisch) [1].

Häufig gestellte Fragen

Ist es eine kritische Schwachstelle?

Ja. NVD vergibt einen CVSS-Wert von 9.3 von 10 und stuft sie als kritischen Schweregrad ein [1].

Wird sie aktiv ausgenutzt?

CVE-2026-9586 ist im KEV-Katalog (Known Exploited Vulnerabilities) der CISA gelistet, was bekannte aktive Ausnutzung bestätigt [2].

Muss ich authentifiziert sein, damit ich betroffen bin?

Nein. Die Schwachstelle kann remote und ganz ohne vorherige Authentifizierung ausgenutzt werden, mittels einer einzigen manipulierten Anfrage an den Endpunkt /pa [1].

Was bringt es mir zu wissen, ob ich betroffen bin?

Sie können die Anwendung des Sicherheitsupdates priorisieren und in der Zwischenzeit die Exposition des Systems reduzieren, anstatt das Problem erst nach einem Vorfall zu entdecken.

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-9586
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json