Una vulnerabilidad crítica en Sangoma Switchvox permite la ejecución remota de código sin autenticación a través de una inyección SQL. Los atacantes ya han aprovechado este fallo para desplegar reverse shells en campañas activas desde el 30 de agosto de 2026.
Administradores de centralitas VoIP y responsables de sistemas enfrentan una amenaza urgente. El fallo, identificado como CVE-2026-9586 con una puntuación CVSS de 9.3, afecta a despliegues expuestos a Internet y constituye una preocupación particular para entornos SMB. Se estima que existen miles de instancias accesibles desde la red, con una concentración significativa en Estados Unidos.
La vulnerabilidad reside en el endpoint HTTP /pa, que procesa solicitudes en XML. El sistema incorpora el valor PhoneIP a consultas en PostgreSQL sin realizar el saneado ni la parametrización adecuados, lo que representa un patrón clásico de SQL injection catalogado como CWE-89. Mediante esta técnica, un atacante puede ejecutar consultas arbitrarias contra la base de datos y escalar el ataque hasta lograr la ejecución de comandos en el sistema con privilegios de superusuario de PostgreSQL.
En los ataques reales observados se han detectado la apertura de reverse shells y actividades de reconocimiento que incluyen comandos codificados en Base64 para enumerar procesos del servidor. La dirección IP 176.65.148.184 ha sido vinculada con esta explotación. Las trazas del ataque pueden quedar registradas en /var/log/switchvox/db-quirks.log, un punto relevante para equipos con acceso SSH que necesiten verificar intentos de inyección SQL o acciones posteriores.
La solución se encuentra disponible desde hace meses. Switchvox 8.4.0.2, lanzada el 14 de julio de 2026, incluye el parche junto con correcciones adicionales en el portal web. La cronología del evento sitúa el aviso inicial al fabricante el 10 de abril de 2026, el lanzamiento de la corrección a mediados de julio y la confirmación de la explotación a finales de agosto.
La recomendación principal es actualizar inmediatamente a Switchvox 8.4.0.2 o superior, priorizando las instalaciones expuestas a Internet o aquellas donde el servicio HTTP que incluye /pa sea accesible desde redes no confiables. Mientras se completa la actualización, se aconseja reducir la superficie de ataque mediante listas de control de acceso, VPN o segmentación de red, además de vigilar conexiones salientes anómalas, especialmente intentos de reverse shell o tráfico dirigido a 176.65.148.184.
Es necesario buscar indicios de post explotación como procesos inusuales como nc, invocaciones de bash desde servicios web o secuencias típicas de descarga y ejecución con curl. Si se detectan evidencias de compromiso, la respuesta debe ir más allá del parche e incluir rotación de secretos y credenciales del sistema, así como análisis forense para determinar el alcance del acceso del atacante.
Con Información de unaaldia.hispasec.com
