Sangomaの企業向けVoIP「Switchvox」に深刻な脆弱性、認証なしでサーバーが遠隔操作される被害が確認される

要点

• 企業向けVoIPプラットフォーム「Sangoma Switchvox」において、認証不要でリモートコード実行が可能な極めて深刻な脆弱性（CVE-2026-9586、CVSSスコア 9.3）が確認された。
• XMLデータの処理時にサニタイズが行われないSQLインジェクションの不備に起因し、認証情報を持たない外部の攻撃者がデータベースの最高権限で任意のコードを実行できる状態になっていた。
• 開発元から2026年7月に修正パッチが提供されていたものの、同年8月30日以降、インターネット上の機器を標的とした実際の攻撃活動が観測されている。
• 被害環境では不正な遠隔操作を行うリバースシェルが展開されており、インターネットに露出している約4,000台のインスタンスの多くに危険が及んでいるとみられる。

---

企業向けVoIP（IPネットワーク上で通話を行うシステム）プラットフォーム「Sangoma Switchvox」において、外部から認証なしで任意のコードを実行できる深刻な脆弱性が悪用されていることが判明した。セキュリティ研究機関のHorizon3.aiやSRA Labsの調査報告をもとに、海外セキュリティメディアのThe Hacker Newsが2026年9月2日に報じた。すでに修正パッチが配布されているものの、インターネット上に公開されたサーバーを標的とする攻撃が観測され始めているという。

認証なしで最上位権限を奪取される「CVE-2026-9586」の仕組み

今回報告された脆弱性は「CVE-2026-9586」として追跡されており、共通脆弱性評価システム（CVSS）のスコアは重大度を示す「9.3」と極めて高い。影響を受ける対象は「Sangoma Switchvox SMB Edition 8.3（104997）」である。

CVE.orgの解説によると、本脆弱性の根本原因はSwitchvoxの /pa エンドポイントにおける入力処理の不備にある。同エンドポイントが <PolycomIPPhone> で始まるXML形式のデータを処理する際、ユーザー側から送信された PhoneIP の値を、サニタイズ（不正な文字列の無害化）やパラメータ化を行わないままPostgreSQLのデータベースクエリに直接連結していた。

これにより、攻撃者は細工したリクエストを1度送信するだけで、背後にあるPostgreSQLデータベースに対して任意のSQL文を実行できる。その結果、認証情報を一切持たない状態であっても、PostgreSQLのスーパーユーザー（最高管理者権限）としてサーバー上で任意のプログラムを実行することが可能になっていた。

権限昇格や認証偽造など広範なリスクを実証

本脆弱性の危険性については、Security Risk Advisors（SRA）Labsも2026年5月に独自に発見し、検証結果を報告していた。

SRA Labsの検証によると、認証されていない攻撃者がデータベース内の機密情報を抽出したり、ユーザーレコードを直接書き換えたりすることが可能だった。さらに、SwitchvoxのWeb管理者権限への不正昇格や、標的マシン上で外部から侵入者のサーバーへ通信を繋ぎ直す「リバースシェル」を確立し、サーバー上で任意のコマンドを実行できることが実証された。

また、同ラボが提示した具体例では、脆弱性の悪用によってCookieの署名鍵が外部サーバーに持ち出され、任意のユーザーになりすますための認証情報を偽造できる状態になっていたことも明らかにされている。

ハニーポットで確認された攻撃活動と痕跡情報（IoC）

開発元のSangomaは、2026年4月にHorizon3.aiから受けた報告（Switchvoxに関する12件の脆弱性の1つ）などに基づき、2026年7月14日付でリリースされた「Switchvox 8.4.0.2」において修正パッチを提供していた。

しかし、Horizon3.aiの報告によると、パッチ公開から約1か月半が経過した2026年8月30日より、実際の環境（イン・ザ・ワイルド）で本脆弱性を突いた攻撃試行が観測されるようになったという。

攻撃を検知するために設置されたハニーポット（罠となるおとりサーバー）への侵入試行では、侵害したシステム上にリバースシェルを展開した後、Base64でエンコードされたコマンドを実行して稼働中のプロセスを調査・列挙する手口が確認されている。同社は侵害の有無を確認するための指標（IoC）として、以下の情報を公開した。

• ログの痕跡: SSHアクセスが有効な機器の場合、/var/log/switchvox/db-quirks.log 内に使用されたSQLインジェクションのペイロードが記録される。
• 攻撃元のIPアドレス: 176.65.148[.]184（セキュリティ共有サービスのVirusTotalにおいて、ポートスキャンや総当たり攻撃、脆弱性悪用の活動を行っているとして警告されている）。

約4,000台が公開状態、広範な標的化に懸念

インターネット上の機器検索エンジンなどのデータによれば、外部から直接アクセス可能な状態にあるSwitchvoxインスタンスは全世界で約4,000台存在しており、その大半は米国に集中しているという。

Horizon3.aiのセキュリティ研究者であるZach Hanley氏は、同一の送信元IPアドレスから複数のハニーポットに対して矢継ぎ早に攻撃が試みられている実態を指摘した上で、「インターネットに露出しているSwitchvoxインスタンスの大半が、すでに標的とされたか、近いうちに攻撃対象になる可能性が高い」と警鐘を鳴らしている。