Switchvox CVE-2026-9586 SQL注入在野利用

资讯专家

安全厂商Horizon3与CISA先后发出警告，Sangoma Switchvox企业VoIP电话管理解决方案存在一个正在被利用的高危漏洞。该漏洞编号为CVE-2026-9586，CVSS评分9.3，属于未认证SQL注入。

漏洞位于处理XML内容的端点，由于未对用户可控的PhoneIP值进行清理或参数化，直接拼接到PostgreSQL查询中。远程攻击者可通过单个特制请求，在后台PostgreSQL数据库上执行任意SQL语句，并可能进一步实现远程代码执行。NIST公告也确认了这一影响。

Horizon3已发现在野利用活动，并发布了入侵指标（IoC）帮助排查。CISA随后将该漏洞列入已知被利用漏洞（KEV）目录。同批被列入的还有：JFrog Artifactory漏洞、两个SonicWall SMA1000零日漏洞、Starlette的CVE-2026-48710（HTTP请求/响应走私，自5月起被利用）、Kestra的CVE-2026-49869（命令注入）以及LiteLLM的CVE-2026-59822（认证绕过）。CISA要求联邦机构在3天内完成修复，其中Kestra和Starlette相关漏洞按BOD 26-04要求在两周内修复。

建议部署了Switchvox的用户尽快关注厂商安全公告并应用补丁，同时可参考Horizon3发布的IoC排查是否已遭入侵。