Sangomaの電話システム「Switchvox」に深刻なSQLインジェクションの脆弱性、米CISAが悪用カタログに追加
要点
- Sangomaが提供するPBX製品「Switchvox SMB Edition 8.3」において、認証不要で悪用可能なSQLインジェクションの脆弱性（CVE-2026-9586）が判明した。
- XMLデータを処理するエンドポイントの不備により、細工された単一のリクエストでデータベースの不正操作やリモートコード実行が可能になる。
- 脆弱性の深刻度を評価するCVSS v4.0のベーススコアは9.3（CRITICAL）と、極めて危険度が高い水準に位置づけられている。
- 米CISAは本脆弱性を悪用が確認された脆弱性カタログに追加し、ベンダーからは修正版となるバージョン8.4.0.2が案内されている。
Sangomaの構内交換機（PBX：企業内などで電話回線の接続を制御する装置やソフトウェア）製品「Switchvox」において、外部から認証を経ることなくバックエンドのデータベースを操作し、任意のコードを実行できる深刻な脆弱性が存在することが明らかになった。米国の脆弱性情報データベース「National Vulnerability Database（NVD）」が2026年8月27日に公開した情報や関連機関のアドバイザリによって判明した。
本脆弱性は既に現実の攻撃において悪用されていることが確認されており、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年9月2日付で注意を呼びかけるカタログに登録を行っている。
脆弱性「CVE-2026-9586」の概要と想定される影響
今回判明した脆弱性は「CVE-2026-9586」として識別されている。影響を受ける対象は「Sangoma Switchvox SMB Edition 8.3（ビルド番号104997）」だ。
脆弱性の種別は「CWE-89（SQLコマンドに使用される特殊要素の不適切な無害化）」に分類されるSQLインジェクション（データベースへの命令文に不正なコードを挿入して誤作動させる攻撃手法）である。
NVDの記述によると、本脆弱性を突く攻撃者は事前の認証を必要とせず、ネットワーク経由で遠隔から攻撃を試みることができるという。攻撃者が特別に細工した単一のリクエストを送信するだけで、バックエンドで稼働しているPostgreSQLデータベースに対して任意のSQL文を実行させることが可能とされる。
この脆弱性が悪用された場合、データベースに対する不正な読み書きや操作にとどまらず、最終的にはシステム上で不正なプログラムを実行するリモートコード実行（RCE）につながる恐れがあると報告されている。
不備の原因：XMLエンドポイントにおける入力値の直接連結
脆弱性が発生する具体的な仕組みについても報告されている。問題となっているのは、対象システム内に存在する /pa というエンドポイント（外部からの通信を受け付ける接続口）だ。
このエンドポイントは <PolycomIPPhone> というタグで始まるXML形式のデータを処理する仕組みを備えている。しかし、その処理過程において、送信データに含まれるユーザー制御可能な値 PhoneIP に対し、サニタイズ（有害な文字列の無害化処理）やパラメータ化（安全に入力値を扱うためのデータ分離処理）が施されていなかった。
その結果、受け取った値がそのままPostgreSQLに対するデータベースクエリの文字列へ直接連結される実装になっていた。この処理の不備により、悪意ある文字列を含んだリクエストが送られた際、バックエンドのデータベースがそれを正当なSQL命令の一部として解釈・実行してしまう構造となっていた。
深刻度評価：CVSS v4.0でスコア9.3「CRITICAL」
本脆弱性の深刻度については、CVE採番組織（CNA）であるSecurity Risk Advisorsにより、共通脆弱性評価システム「CVSS v4.0」に基づいたスコア算出が行われている。
評価されたベーススコアは10点満点中「9.3」で、最も深刻な脅威レベルである「CRITICAL（緊急）」に分類された。
算出された評価ベクトル（CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N）の内容を見ると、攻撃経路がネットワーク経由（AV:N）であり、攻撃条件の複雑さや特別な前提条件が存在せず（AC:L / AT:N）、攻撃に事前の権限（PR:N）や利用者の操作介入（UI:N）を一切必要としないことが示されている。
さらに、脆弱性が悪用された際にシステムへ及ぼす影響度についても、機密性の侵害（VC:H）、完全性の侵害（VI:H）、可用性の侵害（VA:H）の3項目すべてで最高レベルの「High（甚大）」と判定されている。なお、NVDによる独自のスコア評価は現時点で提供されていない状態（not yet provided）となっている。
CISAの悪用確認済みカタログへの追加と修正版の状況
本脆弱性「CVE-2026-9586」は、米CISAが管理する「悪用が確認された脆弱性（Known Exploited Vulnerabilities: KEV）カタログ」へ2026年9月2日に追加された。
CISAは、リスクに基づくセキュリティ更新の優先順位付けに関する拘束的運用指令（BOD 26-04）やフォレンジック・トリアージ要件に従い、ベンダーの指示に基づいた緩和策を講じるよう求めている。また、資産がインターネットに露出しているかどうかの評価やパッチ適用の遵守を促しており、緩和策が適用できない場合には製品の使用を停止するよう指示している。なお、CISAが定めた対応期日（Due Date）は2026年9月5日に設定されている。
関連する情報として、ベンダー側からは修正情報を含む文書として「Switchvox Version 8.4.0.2（2026年7月14日付リリースノート）」が案内されている。また、セキュリティ企業のHorizon3.aiやSecurity Risk Advisorsからも本件に関する詳細な調査報告やアドバイザリが公開されている。