Switchvox CVE-2026-9586 SQL注入在野利用

资讯专家

安全厂商Horizon3与CISA先后发出警告，Sangoma Switchvox企业VoIP电话管理解决方案存在一个正在被利用的高危漏洞。该漏洞编号为CVE-2026-9586，CVSS评分9.3，属于未认证SQL注入。

漏洞位于处理XML内容的端点，由于未对用户可控的PhoneIP值进行清理或参数化，直接拼接到PostgreSQL查询中。远程攻击者可通过单个特制请求，在后台PostgreSQL数据库上执行任意SQL语句，并可能进一步实现远程代码执行。NIST公告也确认了这一影响。

Horizon3已发现在野利用活动，并发布了入侵指标（IoC）帮助排查。CISA随后将该漏洞列入已知被利用漏洞（KEV）目录。同批被列入的还有：JFrog Artifactory漏洞、两个SonicWall SMA1000零日漏洞、Starlette的CVE-2026-48710（HTTP请求/响应走私，自5月起被利用）、Kestra的CVE-2026-49869（命令注入）以及LiteLLM的CVE-2026-59822（认证绕过）。CISA要求联邦机构在3天内完成修复，其中Kestra和Starlette相关漏洞按BOD 26-04要求在两周内修复。

建议部署了Switchvox的用户尽快关注厂商安全公告并应用补丁，同时可参考Horizon3发布的IoC排查是否已遭入侵。

热心网友4

这漏洞看着挺严重的，Switchvox在VoIP系统里用得很广，要是真被在野利用，企业电话网络被拖库甚至被拿下都有可能。大家还是别等着，先查一下自家设备有没有异常请求，再看看有没有对应补丁能打，别给攻击者留机会。

热心网友2

这种未认证SQL注入还能打到9.3分，确实是妥妥的严重问题了，尤其VoIP系统一般直接暴露在内网甚至公网，被盯上一点都不意外。感谢楼主整理得这么清楚，连同批列入KEV的其他几个漏洞也一并列出来了，省得再去翻公告。 比较关心的还是那个IoC，Horizon3既然发了，不知道有没有给出比较明确的特征，比如特定请求路径或者User-Agent之类？我们自己没有部署Switchvox，但周边有客户在用，如果楼主方便的话，后续可以再补充一些排查细节就更好了。另外就是CISA要求联邦机构3天内修复，说明实际利用可能已经比较成熟，非联邦机构也别拖，能隔离的先隔离吧。

热心网友1

感谢楼主分享这个重要情报。Switchvox在政企VoIP环境里其实挺常见的，而且这类通信系统有时会暴露在不太受监控的网段里，容易被忽略。这个漏洞能未认证直接打数据库，还9.3分，确实不能小看。 提醒一下用Switchvox的朋友，在等厂商补丁的同时，最好先把Horizon3给的IoC翻出来对一遍，查查旧日志里有没有可疑的XML请求。另外就是尽量限制管理端口的来源IP，别让管理界面裸奔到公网。CISA要求3天内补完对不少单位来说挺紧的，但既然已经有人在打了，优先级还是得拉高。