Exploitation active de CVE-2026-9586 dans Sangoma Switchvox pour déployer des reverse shells

🔍 Contexte

Source : BleepingComputer, publié le 2 septembre 2026. Des chercheurs de Horizon3 ont observé l’exploitation active de CVE-2026-9586, une vulnérabilité critique d’injection SQL non authentifiée affectant la plateforme VoIP d’entreprise Sangoma Switchvox.

🛠️ Détails techniques de la vulnérabilité

• Endpoint vulnérable : /pa (HTTP), exposé publiquement
• Mécanisme : Le champ PhoneIP extrait d’un message XML est directement concaténé dans une requête SQL non paramétrée
• Impact : Injection SQL menant à l’exécution de commandes système (RCE)
• Exploitation : Via une requête XML craftée envoyée avec curl
• CVE-2026-9586 est la plus sévère parmi 12 vulnérabilités découvertes par Horizon3 et signalées à Sangoma le 10 avril
• Patch disponible : Switchvox version 8.4.0.2, publiée le 14 juillet

🚨 Activité d’exploitation observée

• Première exploitation détectée par les honeypots Horizon3 le 30 août
• Adresse IP source unique : 176.65.148.184
• Tentatives en succession rapide sur plusieurs systèmes
• Séquence d’attaque :
  1. Exécution d’un payload initial
  2. Collecte des processus en cours d’exécution
  3. Transmission des données encodées en base64 vers un serveur distant
  4. Tentative d’établissement d’un reverse shell
• Environ 4 000 instances Switchvox exposées sur Internet (source : Shodan), majoritairement aux États-Unis

🔎 Indicateurs de compromission

• Entrées suspectes dans /var/log/switchvox/db-quirks.log
• Connexions réseau vers 176.65.148.184, notamment sur le port 39323

📋 Type d’article

Article d’alerte de sécurité et d’analyse technique, visant à informer les administrateurs systèmes de l’exploitation active en cours et à fournir des indicateurs de compromission exploitables.

🧠 TTPs et IOCs détectés

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1059 — Command and Scripting Interpreter (Execution)
• T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
• T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1132.001 — Data Encoding: Standard Encoding (Command and Control)
• T1057 — Process Discovery (Discovery)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)

IOC

• IPv4 : 176.65.148.184 — AbuseIPDB · VT · ThreatFox
• CVEs : CVE-2026-9586 — NVD · CIRCL
• Chemins : /var/log/switchvox/db-quirks.log
• Chemins : /pa

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• Reverse Shell (other)

🟢 Indice de vérification factuelle : 68/100 (haute)

• ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
• ✅ 2871 chars — texte partiel (10pts)
• ✅ 4 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 1/1 IOC(s) confirmé(s) (AbuseIPDB, ThreatFox, VirusTotal) (8pts)
• ✅ 7 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

• 176.65.148.184 (ip) → AbuseIPDB (100% confiance, 980 signalements) + VT (13/91 détections)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/hackers-exploit-sangoma-switchvox-flaw-to-deploy-reverse-shells/