해커, Sangoma Switchvox 취약점 악용해 리버스 셸 배포

공격자들이 Sangoma Switchvox VoIP 플랫폼의 인증 불필요 SQL 인젝션(데이터베이스에 악성 명령을 주입하는 공격) 취약점인 CVE-2026-9586을 적극적으로 악용하고 있으며, 이를 통해 원격 코드 실행(RCE)이 가능합니다.

보안 연구 기관 Horizon3에 따르면, 인터넷에 노출된 Switchvox 시스템 대부분은 이미 공격 표적이 됐거나 곧 표적이 될 것으로 보입니다.

Switchvox는 기업 전화 시스템의 설정·모니터링에 사용되는 엔터프라이즈용 VoIP 관리 플랫폼입니다.

CVE-2026-9586은 Horizon3가 4월 10일 Sangoma에 보고한 12개 취약점 중 가장 심각한 것입니다. 공급사는 7월 14일 출시한 Switchvox 버전 8.4.0.2에서 이를 모두 수정했습니다.

해당 취약점은 Sangoma Switchvox의 /pa HTTP 엔드포인트에 존재하는 인증 불필요 SQL 인젝션 문제입니다. 연구진에 따르면 이 엔드포인트는 외부에 노출되어 있으며, 특정 키-값 쌍이 담긴 XML 메시지를 파싱합니다.

/pa가 다른 전화 시스템에 수신·발신 이벤트 등을 알리는 요청을 받을 때, XML 메시지에서 PhoneIP 필드를 추출한 뒤 그 값을 파라미터화되지 않은 SQL 쿼리에 직접 이어붙입니다.

연구진은 이 SQL 인젝션이 curl 명령으로 조작된 XML 요청을 전송하는 방식으로 원격에서 운영체제 명령을 실행하는 데 악용될 수 있음을 시연으로 보여줬습니다.

CVE-2026-9586 익스플로잇(취약점 공격 코드)

출처: Horizon3

8월 30일, Horizon3의 허니팟(공격자를 유인하는 가짜 시스템)은 단일 소스 IP 주소(176.65.148.184)에서 여러 시스템을 빠르게 연속 공격하는 실제 익스플로잇을 포착했으며, 공격자는 리버스 셸(피해 서버를 원격 조종하는 통로)을 설치하려 했습니다.

공격자는 초기 페이로드(악성 코드)를 실행한 뒤 Switchvox 시스템에서 실행 중인 주요 프로세스 정보를 수집했습니다. 이 데이터는 이후 base64로 인코딩되어 원격 서버로 전송됐습니다.

Horizon3는 "동일한 소스 IP에서 여러 허니팟에 걸쳐 빠르게 연속된 익스플로잇 시도를 고려할 때, 인터넷에 노출된 대부분의 Switchvox 인스턴스가 이미 표적이 됐거나 곧 표적이 될 가능성이 높다"고 경고했습니다.

"현재 Shodan(인터넷 연결 장비 검색 엔진)에는 인터넷상에 약 4,000대의 장비가 노출된 것으로 나타나며, 대부분이 미국에 위치합니다."

Horizon3는 앞서 발견한 나머지 11개 취약점에 대한 실제 악용은 아직 확인되지 않았다고 밝혔습니다.

CVE-2026-9586이 실제 악용되고 있는 만큼, 시스템 관리자는 가능한 한 빨리 Switchvox 버전 8.4.0.2 이상으로 업그레이드하고 그동안 표적이 됐는지 여부를 점검할 것을 권고합니다.

침해 징후로는 /var/log/switchvox/db-quirks.log의 의심스러운 구문, 그리고 확인된 공격자 IP와의 네트워크 연결(특히 포트 39323)이 있습니다.