Sangoma Switchvox라는 중소기업용 VoIP(인터넷 전화) 통합 커뮤니케이션 플랫폼에서 SQL 인젝션(데이터베이스를 임의로 조작할 수 있는 공격) 취약점(CVE-2026-9586)이 발견되어 현재 실제 공격이 진행 중입니다. 공격자는 로그인 없이 접근 가능한 경로로 악성 명령을 전송해 시스템을 장악한 뒤, 역방향 쉘(원격 제어 통로)을 심고 암호화폐 채굴 악성코드를 설치하고 있습니다. 인터넷에 노출된 Switchvox 장비가 약 4,000대에 달하며, 대부분이 이미 공격 대상이 됐거나 곧 될 가능성이 높다는 경고가 나왔습니다. 패치 버전(8.4.0.2)으로 즉시 업데이트하고, 업데이트가 어렵다면 외부 네트워크 접근을 차단해야 합니다.
Sangoma Switchvox SMB Edition 8.3의 SQL 인젝션 취약점(CVE-2026-9586)을 악용한 실제 공격이 2026년 8월 30일부터 관측되고 있으며, 공격자는 역방향 쉘 설치 및 암호화폐 채굴 악성코드 배포를 수행 중입니다.
인터넷에 노출된 약 4,000대의 Switchvox 장비가 표적이 될 수 있으며, 장비가 내부 네트워크 진입점으로 악용되거나 통합 서비스 자격증명이 탈취될 위험이 있습니다. 현재까지는 암호화폐 채굴이 주요 목적으로 보이나 피해 확산 가능성이 존재합니다.
인증 없이 접근 가능한 엔드포인트(/pa)로 조작된 HTTP POST 요청을 전송해 백엔드 PostgreSQL 데이터베이스에 임의 SQL 구문을 실행할 수 있는 구조적 결함이 원인입니다.
Sangoma는 2026년 7월 14일 버전 8.4.0.2에서 패치를 배포했습니다. 즉시 해당 버전으로 업데이트하고, 업데이트가 불가능한 경우 Switchvox 인터페이스 및 /pa 엔드포인트에 대한 외부 네트워크 접근을 차단해야 합니다. 침해 지표(IP 176.65.148.184, 특정 로그 항목)를 확인해 이미 공격받았는지 점검하십시오.
CISA KEV에 등재된 취약점으로, 실제 악용이 확인됐습니다. Switchvox를 운영 중인 조직은 즉시 8.4.0.2로 업데이트하고, 침해 흔적(로그 이상, 의심 프로세스, 크립토마이너 실행)을 점검해야 합니다. 내부 네트워크로의 횡적 이동 경로로 활용될 수 있어 네트워크 분리 여부도 재확인이 필요합니다.
본문
위협 행위자가 최근 패치된 SQL 인젝션 취약점(CVE-2026-9586)을 통해 인터넷에 노출된 Sangoma Switchvox 인스턴스를 적극적으로 공격하고 있으며, 해당 제품을 운영 중인 조직은 즉시 침해 흔적을 확인해야 합니다.
CVE-2026-9586의 작동 방식
Switchvox는 오픈소스 Asterisk 엔진을 기반으로 하는 VoIP 기반 통합 커뮤니케이션 플랫폼으로, 중소기업을 대상으로 합니다. 온프레미스, 클라우드, 가상화 인프라 환경에 모두 배포할 수 있습니다.
Sangoma Switchvox SMB Edition 8.3에서 발견된 CVE-2026-9586은 공격자가 인증이 필요 없는 엔드포인트로 특수하게 조작된 HTTP POST 요청을 전송해 백엔드 PostgreSQL 데이터베이스에 임의의 SQL 구문을 실행할 수 있도록 합니다.
이 취약점은 2026년 4월 Horizon3 연구진에 의해 발견됐으며, 이후 Security Risk Advisors도 독립적으로 발견했습니다. 양측 모두 해당 취약점 및 추가로 발견된 결함들을 Sangoma에 보고했고, CVE-2026-9586은 2026년 7월 14일 출시된 Switchvox 버전 8.4.0.2에서 패치됐습니다.
Horizon3는 Sangoma가 수정 패치를 출시하기 전인 2026년 5월, 위협 인텔리전스 기업 Defused Cyber와 협력해 Switchvox 실행 시스템을 모방한 인터넷 허니팟을 배포하고 발견된 취약점에 대한 악용 시도를 모니터링했습니다.
8월 30일, 허니팟에서 CVE-2026-9586에 대한 악용 시도가 감지되기 시작했습니다.
공격자의 행동 방식
공격 시도는 단일 IP 주소에서 발생했습니다. 공격자는 침해된 시스템에 역방향 쉘(reverse shell)을 심은 뒤 실행 중인 프로세스를 열거하는 명령을 실행합니다.
Horizon3 연구원 Zach Hanley가 제시한 침해 지표에는 특정 로그 항목과 공격자 IP 주소(176.65.148.184)가 포함됩니다.
"같은 출발지 IP에서 여러 허니팟에 걸쳐 빠르게 연속으로 악용 시도가 이루어진 점을 볼 때, 인터넷에 노출된 대부분의 Switchvox 인스턴스가 이미 표적이 됐거나 곧 표적이 될 가능성이 높다"고 그는 경고했습니다.
"현재 Shodan 기준으로 인터넷에 약 4,000대의 장비가 노출돼 있으며, 대부분 미국에 위치합니다."
인스턴스를 수정 버전으로 업데이트할 수 없는 Switchvox 사용자는 Switchvox 인터페이스 및 /pa 엔드포인트에 대한 네트워크 접근을 제한해야 합니다.
업데이트 (2026년 9월 2일, 오후 2시 45분 ET):
"Switchvox 어플라이언스는 외부에서 내부 네트워크로의 피벗 포인트(중간 거점)로 활용될 가능성이 높습니다. 일부 어플라이언스에는 통합 서비스 자격증명이 저장돼 있어, 공격자가 이를 탈취해 추가 침투에 활용할 수 있습니다"라고 Zach Hanley는 Help Net Security에 이메일로 밝혔습니다.
다만 현재 해당 위협 행위자는 다른 목적을 추구하고 있습니다. 최초 관측 이후, 동일한 위협 행위자가 시스템에 2단계 악성코드를 다운로드하는 것이 관측됐으며, 간략한 분석 결과 암호화폐 채굴기(cryptominer)로 보인다고 그는 전했습니다.
또한 그의 게시물이 공개된 이후, 단순한 스캐닝 페이로드와 2단계 악성코드 설치를 포함한 수십 개의 추가 출발지 IP가 허니팟을 공격하는 것으로 관측됐습니다.
Hanley는 Horizon3가 Defused Cyber와의 협력을 계속할 계획이라고 밝혔습니다. "취약점 발견 분야에서 LLM(대형 언어 모델)의 역할이 커지면서 중복 발견이 일반화될 것으로 예상되며, 취약점이 알려지고 악용되는 시점을 파악하는 것이 중요한 가치를 지닌다"고 그는 말했습니다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
