Die Angriffsfläche für Unternehmen mit VoIP-Infrastrukturen wächst weiter: Aktuell nutzen Angreifer eine kritische Sicherheitslücke in der weit verbreiteten Sangoma Switchvox-Plattform aktiv aus, um sich über Reverse-Shells Zugang zu internen Netzen zu verschaffen. Sicherheitsforscher von Horizon3 haben die Schwachstelle unter der Kennung CVE-2026-9586 identifiziert und warnen, dass ein Großteil der über das Internet erreichbaren Switchvox-Systeme bereits ins Visier von Angreifern geraten ist oder dies in Kürze sein wird. Die Szene zeigt einmal mehr, wie schnell aus einer theoretisch bekannten Verwundbarkeit eine reale Bedrohung für die Geschäftskommunikation wird.
Aktive Angriffe auf Sangoma Switchvox: Kritische SQL-Injection führt zu Remote Code Execution
Bei CVE-2026-9586 handelt es sich um eine nicht authentifizierte SQL-Injection-Schwachstelle in der Sangoma Switchvox VoIP-Plattform, die es einem entfernten Angreifer ermöglicht, beliebige Betriebssystembefehle auszuführen. Switchvox dient in Unternehmen als zentrale Verwaltungs- und Überwachungslösung für Geschäftstelefonanlagen und ist damit ein besonders sensibler Bestandteil der Kommunikationsinfrastruktur.
Das Problem liegt im HTTP-Endpunkt /pa des Systems. Dieser Endpunkt ist offen erreichbar und verarbeitet XML-Nachrichten, die aus Schlüssel-Wert-Paaren bestehen. Solche Nachrichten werden üblicherweise verwendet, um andere Telefonsysteme über Ereignisse wie an- oder abgehende Anrufe zu informieren. Bei der Verarbeitung solcher Anfragen extrahiert die Software das Feld PhoneIP aus der XML-Nachricht und setzt dessen Wert direkt und ungefiltert in eine SQL-Abfrage ein. Diese mangelhafte Parameterisierung erlaubt es einem Angreifer, die ursprüngliche Abfrage zu manipulieren und eigenen Code in die Datenbankabfrage einzuschleusen.
So funktioniert der Angriff auf die Switchvox-Lücke
Die Sicherheitsforscher von Horizon3 haben in ihrer technischen Analyse demonstriert, dass die SQL-Injection vollständig remote ausgenutzt werden kann. Ein Angreifer muss lediglich eine präparierte XML-Anfrage an den betroffenen /pa-Endpunkt senden – im Proof-of-Concept geschah dies mit dem Kommandozeilen-Tool curl. Durch die gezielte Manipulation der SQL-Abfrage lässt sich die Ausführung von Betriebssystembefehlen auf dem dahinterliegenden Server erreichen. Damit ist der Weg zu einer vollständigen Übernahme des Systems nicht mehr weit, da Typ und Version des Betriebssystems in der Regel leicht ermittelt werden können.
Die Forscher entdeckten die Schwachstelle zusammen mit elf weiteren Sicherheitsproblemen und meldeten sie am 10. April an den Hersteller Sangoma. Das Unternehmen reagierte mit der Veröffentlichung von Switchvox Version 8.4.0.2 am 14. Juli und schloss damit alle gemeldeten Lücken. Dennoch zeigen die aktuellen Angriffswellen, dass viele Administratoren das Update bislang nicht aufgespielt haben.
Angriffswellen aus einer einzelnen IP-Adresse: Was die Angreifer tun
Dass es sich bei der aktuellen Bedrohung um keine theoretische Randnotiz handelt, zeigen die Beobachtungen aus den Honeypot-Systemen von Horizon3. Am 30. August registrierten die Forscher aktive Exploit-Versuche auf mehreren ihrer Fallensysteme in schneller Abfolge. Auffällig dabei: Alle Angriffe gingen von einer einzigen Quell-IP-Adresse aus (176.65.148.184). Die Angreifer versuchten dabei nicht nur, eine Reverse-Shell zu etablieren, sondern gingen auch arbeitsteilig vor.
Nach der Ausführung eines initialen Payloads sammelten die Angreifer Informationen über die laufenden Top-Prozesse auf dem Zielsystem. Diese Daten wurden im Base64-Format codiert und an einen entfernten Server übertragen. Dieses Vorgehen deutet auf einen automatisierten, aber dennoch zielgerichteten Angriffsprozess hin, bei dem die Angreifer zunächst die Relevanz und den Typ des kompromittierten Systems prüfen, bevor sie weitere Schritte einleiten.
Rund 4.000 Systeme weltweit betroffen: USA besonders im Fokus
Die Analysten von Horizon3 ziehen aus der schnellen Abfolge der Angriffe auf ihre Honeypots eine klare Schlussfolgerung: Die Angreifer scannen das Internet offenbar systematisch nach verwundbaren Systemen ab. Die Gefahr ist also nicht auf einzelne, zufällig entdeckte Installationen beschränkt. Eine aktuelle Auswertung der Suchmaschine Shodan zeigt, dass weltweit noch etwa 4.000 Switchvox-Geräte direkt mit dem Internet verbunden sind. Ein Großteil dieser Systeme befindet sich in den Vereinigten Staaten.
Für betroffene Unternehmen bedeutet dies eine unmittelbare Handlungsnotwendigkeit. Jedes dieser Systeme stellt ein potenzielles Einfallstor dar, das über die Telefonanlage Zugriff auf das gesamte Firmennetz bieten kann. Die Schwachstelle ermöglicht es Angreifern, nicht nur Anrufdaten abzugreifen oder Telefonanlagen zu manipulieren, sondern dient oft als Ausgangspunkt für weitreichendere Angriffe wie Datenexfiltration oder die Installation von Ransomware.
Was ist eine Reverse-Shell und warum ist sie so gefährlich?
Eine Reverse-Shell ist eine Technik, bei der das Zielsystem eine Verbindung zu einem Computer des Angreifers aufbaut. Statt eine Verbindung von außen zum Unternehmen aufzubauen, was oft von Firewalls blockiert wird, kehrt sich die Verbindungsrichtung um. Das kompromittierte System kontaktiert den Server des Angreifers und übergibt diesem eine interaktive Shell. Für Sicherheitsteams ist diese Art der Kommunikation deutlich schwerer zu erkennen, da ausgehender Datenverkehr in vielen Netzwerken weniger streng überwacht wird als eingehender. Mit einer aktiven Shell hat der Angreifer nahezu die gleichen Rechte wie der Dienst, unter dem die Switchvox-Software läuft, und kann im Netzwerk weiter pivotieren.
Erkennungszeichen einer Kompromittierung
Angesichts der laufenden Angriffswelle ist eine zeitnahe Überprüfung eigener Systeme unabdingbar. Es gibt jedoch konkrete Indikatoren, die auf eine erfolgreiche oder versuchte Ausnutzung der Schwachstelle hindeuten. Administratoren sollten ihr System auf die folgenden Anzeichen überprüfen:
- Auffällige Einträge in der Protokolldatei /var/log/switchvox/db-quirks.log, insbesondere ungewöhnliche SQL-Abfragen oder Fehlermeldungen.
- Bestehende Netzwerkverbindungen zu der bekannten Angreifer-IP 176.65.148.184.
- Ungewöhnlicher ausgehender Netzwerkverkehr, insbesondere zu IP-Adressen, die mit dem Port 39323 verbunden sind.
- Nicht autorisierte Prozesse, die im Kontext des Switchvox-Dienstes ausgeführt werden.
Diese Indikatoren sollten nicht isoliert betrachtet werden. Ein einzelner verdächtiger Log-Eintrag kann auch andere Ursachen haben. Treten jedoch mehrere dieser Anzeichen gleichzeitig auf, ist von einer Kompromittierung auszugehen.
Schutzmaßnahmen für betroffene Systeme
Die oberste Priorität für Administratoren muss die Aktualisierung der Software sein. Das Sicherheitsupdate wurde mit Version 8.4.0.2 ausgeliefert. Systeme, die diese Version oder einen späteren Build noch nicht verwenden, sind anfällig für die aktive Ausnutzung der Lücke. Es ist ratsam, nicht nur das Update einzuspielen, sondern zusätzlich die Erreichbarkeit des /pa-Endpunkts aus dem Internet zu beschränken. Wenn möglich, sollte dieser Endpunkt nur aus vertrauenswürdigen internen Netzen oder über VPN-Verbindungen erreichbar sein. Zudem kann die Segmentierung des Netzwerks die Auswirkungen einer Kompromittierung begrenzen, indem kritische Systeme wie die Telefonanlage von anderen Bereichen des Firmennetzwerks getrennt werden.
Für die Zukunft zeigt der Vorfall, dass Schwachstellen in derart spezialisierten Systemen oft ein blinder Fleck in der Unternehmenssicherheit sind. Während die Aufmerksamkeit häufig auf Betriebssystemen und Standardanwendungen liegt, geraten Kommunikationsplattformen wie VoIP-Systeme in den Hintergrund – obwohl sie direkten Zugang zu sensiblen internen Abläufen bieten. Die Angreifer haben diese Lücke bereits für sich entdeckt, und die Angriffswellen werden vermutlich noch anhalten, bis die verbleibenden anfälligen Systeme aktualisiert sind. Die nächsten Wochen werden zeigen, ob die Administratoren ihre Systeme rechtzeitig sichern, bevor die Lücke vollständig automatisiert in großem Maßstab ausgenutzt wird.
