https://cyberveille.ch/tags/cve-2026-9586/ Recent content in CVE-2026-9586 on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Fri, 04 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-04-exploitation-active-de-cve-2026-9586-dans-sangoma-switchvox-pour-deployer-des-reverse-shells/ Fri, 04 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-04-exploitation-active-de-cve-2026-9586-dans-sangoma-switchvox-pour-deployer-des-reverse-shells/ <h2 id="-contexte">🔍 Contexte</h2> <p>Source : BleepingComputer, publié le 2 septembre 2026. Des chercheurs de <strong>Horizon3</strong> ont observé l&rsquo;exploitation active de <strong>CVE-2026-9586</strong>, une vulnérabilité critique d&rsquo;<strong>injection SQL non authentifiée</strong> affectant la plateforme VoIP d&rsquo;entreprise <strong>Sangoma Switchvox</strong>.</p> <h2 id="-détails-techniques-de-la-vulnérabilité">🛠️ Détails techniques de la vulnérabilité</h2> <ul> <li><strong>Endpoint vulnérable</strong> : <code>/pa</code> (HTTP), exposé publiquement</li> <li><strong>Mécanisme</strong> : Le champ <code>PhoneIP</code> extrait d&rsquo;un message XML est directement concaténé dans une requête SQL non paramétrée</li> <li><strong>Impact</strong> : Injection SQL menant à l&rsquo;<strong>exécution de commandes système</strong> (RCE)</li> <li><strong>Exploitation</strong> : Via une requête XML craftée envoyée avec <code>curl</code></li> <li>CVE-2026-9586 est la plus sévère parmi <strong>12 vulnérabilités</strong> découvertes par Horizon3 et signalées à Sangoma le 10 avril</li> <li><strong>Patch disponible</strong> : Switchvox version <strong>8.4.0.2</strong>, publiée le 14 juillet</li> </ul> <h2 id="-activité-dexploitation-observée">🚨 Activité d&rsquo;exploitation observée</h2> <ul> <li>Première exploitation détectée par les <strong>honeypots Horizon3 le 30 août</strong></li> <li>Adresse IP source unique : <strong>176.65.148.184</strong></li> <li>Tentatives en <strong>succession rapide</strong> sur plusieurs systèmes</li> <li>Séquence d&rsquo;attaque : <ol> <li>Exécution d&rsquo;un payload initial</li> <li>Collecte des processus en cours d&rsquo;exécution</li> <li>Transmission des données encodées en <strong>base64</strong> vers un serveur distant</li> <li>Tentative d&rsquo;établissement d&rsquo;un <strong>reverse shell</strong></li> </ol> </li> <li>Environ <strong>4 000 instances Switchvox</strong> exposées sur Internet (source : Shodan), majoritairement aux <strong>États-Unis</strong></li> </ul> <h2 id="-indicateurs-de-compromission">🔎 Indicateurs de compromission</h2> <ul> <li>Entrées suspectes dans <code>/var/log/switchvox/db-quirks.log</code></li> <li>Connexions réseau vers <strong>176.65.148.184</strong>, notamment sur le <strong>port 39323</strong></li> </ul> <h2 id="-type-darticle">📋 Type d&rsquo;article</h2> <p>Article d&rsquo;alerte de sécurité et d&rsquo;analyse technique, visant à informer les administrateurs systèmes de l&rsquo;exploitation active en cours et à fournir des indicateurs de compromission exploitables.</p>