기업용 VoIP(인터넷 전화) 플랫폼인 Sangoma Switchvox에서 로그인 없이도 원격으로 시스템을 완전히 장악할 수 있는 치명적인 보안 취약점(CVE-2026-9586)이 발견됐고, 현재 실제 공격에 악용되고 있습니다. 공격자는 특별히 조작된 요청 한 번만으로 데이터베이스를 마음대로 조작하거나, 피해 서버에 '역방향 셸(reverse shell, 공격자가 원격으로 서버를 조종하는 통로)'을 심을 수 있습니다. 인터넷에 노출된 Switchvox 장비가 약 4,000대에 달하며, 이미 대규모 자동 공격 시도가 관측됐습니다. Sangoma는 2026년 7월 14일에 Switchvox 8.4.0.2 버전으로 패치를 배포했으므로, 해당 제품을 사용하는 기업은 즉시 업데이트해야 합니다.
Sangoma Switchvox SMB Edition 8.3에서 인증 없이 SQL 인젝션(SQL injection, 데이터베이스 명령어를 몰래 삽입하는 공격)으로 원격 코드 실행이 가능한 CVE-2026-9586이 발견됐으며, 2026년 8월 30일부터 실제 공격이 확인됐다.
공격자는 자격증명 없이 데이터베이스 전체 열람·조작, 관리자 권한 탈취, 역방향 셸 배포, 쿠키 서명 키 유출을 통한 임의 계정 위조가 가능하다. 인터넷에 노출된 약 4,000개 인스턴스 대부분이 이미 표적이 됐거나 될 가능성이 높다.
Switchvox의 /pa 엔드포인트가 XML 입력값(PhoneIP)을 검증·매개변수화 없이 PostgreSQL 쿼리에 직접 연결하여 SQL 인젝션이 가능해졌다.
Sangoma는 2026년 7월 14일 Switchvox 8.4.0.2 패치를 출시했다. Horizon3.ai는 침해지표(IoC)로 공격자 IP 176.65.148[.]184와 '/var/log/switchvox/db-quirks.log' 내 페이로드 흔적을 공개했다.
Switchvox를 사용 중인 조직은 8.4.0.2로 즉시 업그레이드하고, SSH 접근이 활성화된 장비는 db-quirks.log에서 공격 흔적을 점검해야 한다. 공격자 IP를 차단 목록에 추가하고 인터넷 노출 최소화도 권고된다.
본문
Ravie Lakshmanan · 2026년 9월 2일 · 취약점 / 네트워크 보안
위협 행위자들이 기업용 VoIP(인터넷 전화) 플랫폼인 Sangoma Switchvox의 심각한 보안 취약점을 악용하고 있으며, 이를 통해 인증 없는 원격 코드 실행(RCE)이 가능한 상태다.
문제의 취약점은 CVE-2026-9586(CVSS 점수: 9.3)으로, Sangoma Switchvox SMB Edition 8.3(104997)에 존재하는 치명적인 비인증 SQL 인젝션 취약점이다. 공격자는 자격증명 없이 PostgreSQL 슈퍼유저 권한으로 원격에서 임의 코드를 실행할 수 있다. Sangoma는 2026년 7월 14일 Switchvox 8.4.0.2에서 해당 취약점 패치를 배포했다.
CVE.org의 취약점 설명에 따르면, "Sangoma Switchvox SMB Edition 8.3(104997)에 비인증 SQL 인젝션 취약점이 존재한다. /pa 엔드포인트는 <PolycomIPPhone>으로 시작하는 XML 콘텐츠를 처리하면서, 사용자가 제어하는 PhoneIP 값을 검증이나 매개변수화(parameterization) 없이 PostgreSQL 쿼리에 직접 연결(concatenate)한다."
"비인증 원격 공격자는 단 하나의 조작된 요청만으로 백엔드 PostgreSQL 데이터베이스에 대한 임의의 SQL 구문 실행이 가능하며, 데이터베이스 작업과 원격 코드 실행도 포함된다."
Horizon3.ai는 CVE-2026-9586이 2026년 4월 Sangoma에 보고된 Switchvox 취약점 12개 중 하나이며, 2026년 8월 30일부터 실제 환경에서 유효한 악용 시도가 관측되고 있다고 밝혔다. 인터넷에 노출된 인스턴스는 약 4,000개로, 대부분 미국에 위치한다.
같은 취약점은 Security Risk Advisors(SRA) Labs가 5월에 독립적으로 발견하여 보고하기도 했다.
SRA Labs는 "비인증 공격자로서 데이터베이스 콘텐츠 추출, 사용자 레코드 수정, Switchvox 웹 관리자 권한 상승을 포함한 임의의 데이터베이스 작업을 수행할 수 있었다"고 밝혔다. "또한 서버에서 임의 코드를 실행하는 데 성공했으며, 대상 머신에 역방향 셸(reverse shell)을 구동했다."
SRA Labs가 예시로 든 사례에서는, CVE-2026-9586 악용에 성공하면 쿠키 서명 키(cookie signing key)를 외부 서버로 유출하는 것도 가능하다. 이를 통해 공격자는 임의 사용자에 대한 인증 정보를 위조할 수 있게 된다.
Horizon3.ai의 허니팟(honeypot, 공격을 유도하기 위한 모의 시스템)을 표적으로 한 공격에서는 침해 시스템에 역방향 셸이 배포된 뒤, Base64로 인코딩된 명령어를 실행해 실행 중인 프로세스를 열거하는 행위가 관측됐다. 해당 자율 침투 테스트 플랫폼은 다음과 같은 침해지표(IoC)를 공개했다.
- SSH 접근이 활성화된 장비의 경우, SQL 인젝션 페이로드 사용 흔적을
/var/log/switchvox/db-quirks.log에서 확인할 수 있다. - 공격자 IP 주소:
176.65.148[.]184
해당 IP 주소는 VirusTotal에서 포트 스캐닝, 무차별 대입(brute-force), 익스플로잇 활동을 수행하는 것으로 이미 신고된 주소다.
보안 연구원 Zach Hanley는 "동일한 출처 IP에서 여러 허니팟에 대한 익스플로잇 시도가 빠르게 연속으로 발생한 점을 고려할 때, 인터넷에 노출된 대부분의 Switchvox 인스턴스가 이미 표적이 됐거나 곧 표적이 될 가능성이 높다"고 말했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
