Sangoma Switchvox SQL Injection Vulnerability

NGHIÊM TRỌNG 9.8ĐANG BỊ KHAI THÁC (CISA KEV)CVE-2026-9586 · Công bố 17/07/2026 · cập nhật 24/10/2026

Sangoma Switchvox SQL Injection Vulnerability. Đang bị khai thác thực tế: CISA đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities ngày 02/09/2026. Hãy vá các hệ thống bị ảnh hưởng ngay.

Tóm tắt nhanh

CVE-2026-9586 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng switchvox (sangoma).
Đang bị khai thác thực tế: CISA đưa vào danh mục KEV ngày 02/09/2026.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 19.0%, cao hơn 97.3% các lỗ hổng khác.
Cách xử lý: cập nhật lên 8.4.0.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
switchvox sangoma	`≥ 8.2.2.1, < 8.4.0.2`	`8.4.0.2`

Mô tả

An unauthenticated SQL injection vulnerability exists in Sangoma Switchvox SMB Edition 8.3 (104997). The /pa endpoint processes XML content beginning with <PolycomIPPhone> and directly concatenates the user-controlled PhoneIP value into PostgreSQL queries without sanitization or parameterization. An unauthenticated remote attacker can execute arbitrary SQL statements against the backend PostgreSQL database using a single crafted request, including database operations and remote code execution.