{"id":50968,"date":"2026-09-02T23:55:32","date_gmt":"2026-09-02T21:55:32","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50968"},"modified":"2026-09-02T23:55:32","modified_gmt":"2026-09-02T21:55:32","slug":"sangoma-switchvox-sicherheitsluecke-reverse-shell-50968","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/sangoma-switchvox-sicherheitsluecke-reverse-shell-50968\/","title":{"rendered":"Sangoma Switchvox-L\u00fccke aktiv ausgenutzt f\u00fcr Reverse-Shells"},"content":{"rendered":"

Die Angriffsfl\u00e4che f\u00fcr Unternehmen mit VoIP-Infrastrukturen w\u00e4chst weiter: Aktuell nutzen Angreifer eine kritische Sicherheitsl\u00fccke in der weit verbreiteten Sangoma<\/a> Switchvox-Plattform aktiv aus, um sich \u00fcber Reverse-Shells Zugang zu internen Netzen zu verschaffen. Sicherheitsforscher von Horizon3<\/a> haben die Schwachstelle unter der Kennung CVE-2026-9586 identifiziert und warnen, dass ein Gro\u00dfteil der \u00fcber das Internet erreichbaren Switchvox-Systeme bereits ins Visier von Angreifern geraten ist oder dies in K\u00fcrze sein wird. Die Szene zeigt einmal mehr, wie schnell aus einer theoretisch bekannten Verwundbarkeit eine reale Bedrohung f\u00fcr die Gesch\u00e4ftskommunikation wird.<\/p>\n

Aktive Angriffe auf Sangoma Switchvox: Kritische SQL-Injection f\u00fchrt zu Remote Code Execution<\/h2>\n

Bei CVE-2026-9586 handelt es sich um eine nicht authentifizierte SQL-Injection-Schwachstelle in der Sangoma Switchvox VoIP-Plattform, die es einem entfernten Angreifer erm\u00f6glicht, beliebige Betriebssystembefehle auszuf\u00fchren. Switchvox dient in Unternehmen als zentrale Verwaltungs- und \u00dcberwachungsl\u00f6sung f\u00fcr Gesch\u00e4ftstelefonanlagen und ist damit ein besonders sensibler Bestandteil der Kommunikationsinfrastruktur.<\/p>\n

Das Problem liegt im HTTP-Endpunkt \/pa<\/strong> des Systems. Dieser Endpunkt ist offen erreichbar und verarbeitet XML-Nachrichten, die aus Schl\u00fcssel-Wert-Paaren bestehen. Solche Nachrichten werden \u00fcblicherweise verwendet, um andere Telefonsysteme \u00fcber Ereignisse wie an- oder abgehende Anrufe zu informieren. Bei der Verarbeitung solcher Anfragen extrahiert die Software das Feld PhoneIP<\/strong> aus der XML-Nachricht und setzt dessen Wert direkt und ungefiltert in eine SQL-Abfrage ein. Diese mangelhafte Parameterisierung erlaubt es einem Angreifer, die urspr\u00fcngliche Abfrage zu manipulieren und eigenen Code in die Datenbankabfrage einzuschleusen.<\/p>\n

So funktioniert der Angriff auf die Switchvox-L\u00fccke<\/h3>\n

Die Sicherheitsforscher von Horizon3 haben in ihrer technischen Analyse demonstriert, dass die SQL-Injection vollst\u00e4ndig remote ausgenutzt werden kann. Ein Angreifer muss lediglich eine pr\u00e4parierte XML-Anfrage an den betroffenen \/pa<\/strong>-Endpunkt senden \u2013 im Proof-of-Concept geschah dies mit dem Kommandozeilen-Tool curl<\/strong>. Durch die gezielte Manipulation der SQL-Abfrage l\u00e4sst sich die Ausf\u00fchrung von Betriebssystembefehlen auf dem dahinterliegenden Server erreichen. Damit ist der Weg zu einer vollst\u00e4ndigen \u00dcbernahme des Systems nicht mehr weit, da Typ und Version des Betriebssystems in der Regel leicht ermittelt werden k\u00f6nnen.<\/p>\n

Die Forscher entdeckten die Schwachstelle zusammen mit elf weiteren Sicherheitsproblemen und meldeten sie am 10. April an den Hersteller Sangoma. Das Unternehmen reagierte mit der Ver\u00f6ffentlichung von Switchvox Version 8.4.0.2<\/strong> am 14. Juli und schloss damit alle gemeldeten L\u00fccken. Dennoch zeigen die aktuellen Angriffswellen, dass viele Administratoren das Update bislang nicht aufgespielt haben.<\/p>\n

Angriffswellen aus einer einzelnen IP-Adresse: Was die Angreifer tun<\/h2>\n

Dass es sich bei der aktuellen Bedrohung um keine theoretische Randnotiz handelt, zeigen die Beobachtungen aus den Honeypot-Systemen von Horizon3. Am 30. August registrierten die Forscher aktive Exploit-Versuche auf mehreren ihrer Fallensysteme in schneller Abfolge. Auff\u00e4llig dabei: Alle Angriffe gingen von einer einzigen Quell-IP-Adresse aus (176.65.148.184). Die Angreifer versuchten dabei nicht nur, eine Reverse-Shell zu etablieren, sondern gingen auch arbeitsteilig vor.<\/p>\n

Nach der Ausf\u00fchrung eines initialen Payloads sammelten die Angreifer Informationen \u00fcber die laufenden Top-Prozesse auf dem Zielsystem. Diese Daten wurden im Base64-Format codiert und an einen entfernten Server \u00fcbertragen. Dieses Vorgehen deutet auf einen automatisierten, aber dennoch zielgerichteten Angriffsprozess hin, bei dem die Angreifer zun\u00e4chst die Relevanz und den Typ des kompromittierten Systems pr\u00fcfen, bevor sie weitere Schritte einleiten.<\/p>\n

Rund 4.000 Systeme weltweit betroffen: USA besonders im Fokus<\/h3>\n

Die Analysten von Horizon3 ziehen aus der schnellen Abfolge der Angriffe auf ihre Honeypots eine klare Schlussfolgerung: Die Angreifer scannen das Internet offenbar systematisch nach verwundbaren Systemen ab. Die Gefahr ist also nicht auf einzelne, zuf\u00e4llig entdeckte Installationen beschr\u00e4nkt. Eine aktuelle Auswertung der Suchmaschine Shodan zeigt, dass weltweit noch etwa 4.000 Switchvox-Ger\u00e4te<\/strong> direkt mit dem Internet verbunden sind. Ein Gro\u00dfteil dieser Systeme befindet sich in den Vereinigten Staaten.<\/p>\n

F\u00fcr betroffene Unternehmen bedeutet dies eine unmittelbare Handlungsnotwendigkeit. Jedes dieser Systeme stellt ein potenzielles Einfallstor dar, das \u00fcber die Telefonanlage Zugriff auf das gesamte Firmennetz bieten kann. Die Schwachstelle erm\u00f6glicht es Angreifern, nicht nur Anrufdaten abzugreifen oder Telefonanlagen zu manipulieren, sondern dient oft als Ausgangspunkt f\u00fcr weitreichendere Angriffe wie Datenexfiltration oder die Installation von Ransomware.<\/p>\n

Was ist eine Reverse-Shell und warum ist sie so gef\u00e4hrlich?<\/h2>\n

Eine Reverse-Shell ist eine Technik, bei der das Zielsystem eine Verbindung zu einem Computer des Angreifers aufbaut. Statt eine Verbindung von au\u00dfen zum Unternehmen aufzubauen, was oft von Firewalls blockiert wird, kehrt sich die Verbindungsrichtung um. Das kompromittierte System kontaktiert den Server des Angreifers und \u00fcbergibt diesem eine interaktive Shell. F\u00fcr Sicherheitsteams ist diese Art der Kommunikation deutlich schwerer zu erkennen, da ausgehender Datenverkehr in vielen Netzwerken weniger streng \u00fcberwacht wird als eingehender. Mit einer aktiven Shell hat der Angreifer nahezu die gleichen Rechte wie der Dienst, unter dem die Switchvox-Software l\u00e4uft, und kann im Netzwerk weiter pivotieren.<\/p>\n

Erkennungszeichen einer Kompromittierung<\/h3>\n

Angesichts der laufenden Angriffswelle ist eine zeitnahe \u00dcberpr\u00fcfung eigener Systeme unabdingbar. Es gibt jedoch konkrete Indikatoren, die auf eine erfolgreiche oder versuchte Ausnutzung der Schwachstelle hindeuten. Administratoren sollten ihr System auf die folgenden Anzeichen \u00fcberpr\u00fcfen:<\/p>\n

    \n
  • Auff\u00e4llige Eintr\u00e4ge in der Protokolldatei \/var\/log\/switchvox\/db-quirks.log<\/strong>, insbesondere ungew\u00f6hnliche SQL-Abfragen oder Fehlermeldungen.<\/li>\n
  • Bestehende Netzwerkverbindungen zu der bekannten Angreifer-IP 176.65.148.184<\/strong>.<\/li>\n
  • Ungew\u00f6hnlicher ausgehender Netzwerkverkehr, insbesondere zu IP-Adressen, die mit dem Port 39323<\/strong> verbunden sind.<\/li>\n
  • Nicht autorisierte Prozesse, die im Kontext des Switchvox-Dienstes ausgef\u00fchrt werden.<\/li>\n<\/ul>\n

    Diese Indikatoren sollten nicht isoliert betrachtet werden. Ein einzelner verd\u00e4chtiger Log-Eintrag kann auch andere Ursachen haben. Treten jedoch mehrere dieser Anzeichen gleichzeitig auf, ist von einer Kompromittierung auszugehen.<\/p>\n

    Schutzma\u00dfnahmen f\u00fcr betroffene Systeme<\/h2>\n

    Die oberste Priorit\u00e4t f\u00fcr Administratoren muss die Aktualisierung der Software sein. Das Sicherheitsupdate wurde mit Version 8.4.0.2 ausgeliefert. Systeme, die diese Version oder einen sp\u00e4teren Build noch nicht verwenden, sind anf\u00e4llig f\u00fcr die aktive Ausnutzung der L\u00fccke. Es ist ratsam, nicht nur das Update einzuspielen, sondern zus\u00e4tzlich die Erreichbarkeit des \/pa-Endpunkts aus dem Internet zu beschr\u00e4nken. Wenn m\u00f6glich, sollte dieser Endpunkt nur aus vertrauensw\u00fcrdigen internen Netzen oder \u00fcber VPN-Verbindungen erreichbar sein. Zudem kann die Segmentierung des Netzwerks die Auswirkungen einer Kompromittierung begrenzen, indem kritische Systeme wie die Telefonanlage von anderen Bereichen des Firmennetzwerks getrennt werden.<\/p>\n

    F\u00fcr die Zukunft zeigt der Vorfall, dass Schwachstellen in derart spezialisierten Systemen oft ein blinder Fleck in der Unternehmenssicherheit sind. W\u00e4hrend die Aufmerksamkeit h\u00e4ufig auf Betriebssystemen und Standardanwendungen liegt, geraten Kommunikationsplattformen wie VoIP-Systeme in den Hintergrund \u2013 obwohl sie direkten Zugang zu sensiblen internen Abl\u00e4ufen bieten. Die Angreifer haben diese L\u00fccke bereits f\u00fcr sich entdeckt, und die Angriffswellen werden vermutlich noch anhalten, bis die verbleibenden anf\u00e4lligen Systeme aktualisiert sind. Die n\u00e4chsten Wochen werden zeigen, ob die Administratoren ihre Systeme rechtzeitig sichern, bevor die L\u00fccke vollst\u00e4ndig automatisiert in gro\u00dfem Ma\u00dfstab ausgenutzt wird.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Die Angriffsfl\u00e4che f\u00fcr Unternehmen mit VoIP-Infrastrukturen w\u00e4chst weiter: Aktuell nutzen Angreifer eine kritische Sicherheitsl\u00fccke in der weit verbreiteten Sangoma Switchvox-Plattform aktiv aus, um sich \u00fcber Reverse-Shells Zugang zu internen Netzen zu verschaffen. Sicherheitsforscher von Horizon3 haben die Schwachstelle unter der Kennung CVE-2026-9586 identifiziert und warnen, dass ein Gro\u00dfteil der \u00fcber das Internet erreichbaren Switchvox-Systeme bereits […]<\/p>\n","protected":false},"author":5,"featured_media":53659,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50968.png","fifu_image_alt":"Sangoma Switchvox-L\u00fccke aktiv ausgenutzt f\u00fcr Reverse-Shells","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-50968","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50968.png","fifu_image_alt":"Sangoma Switchvox-L\u00fccke aktiv ausgenutzt f\u00fcr Reverse-Shells","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50968","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50968"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50968\/revisions"}],"predecessor-version":[{"id":50969,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50968\/revisions\/50969"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53659"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50968"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50968"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50968"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}