CVE-2026-9586 : Sangoma Switchvox ciblé par des shells inversés, KEV CISA

Les faits

Le 2 septembre 2026, la CISA (Cybersecurity and Infrastructure Security Agency) a ajouté CVE-2026-9586 à son catalogue des vulnérabilités exploitées connues (KEV). La faille affecte Sangoma Switchvox, une plateforme de téléphonie VoIP largement déployée dans les PME et ETI. Avec un score CVSS de 9.3, cette vulnérabilité permet à un attaquant non authentifié d'exécuter du code arbitraire à distance en chaînant une injection SQL avec des capacités d'exécution de commandes système.

Techniquement, la vulnérabilité réside dans l'endpoint HTTP /pa de Switchvox. Lorsqu'une requête HTTP contient un corps XML dont l'élément racine est <PolycomIPPhone>, le serveur extrait la valeur de l'attribut PhoneIP ou d'un élément enfant et l'injecte directement dans une requête PostgreSQL sans paramétrage préalable. La concaténation brute de la chaîne dans le contexte SQL permet à un attaquant de rompre le contexte et d'ajouter des instructions SQL arbitraires en une seule requête HTTP non authentifiée.

Les chercheurs de Horizon3.ai ont documenté des tentatives d'exploitation valides contre des dispositifs Switchvox exposés sur Internet dès le 30 août 2026. Dans ces attaques, les adversaires déploient des shells inversés pour obtenir un accès en ligne de commande au serveur VoIP compromis, leur permettant ensuite de pivoter vers le réseau interne de l'organisation, d'intercepter des communications téléphoniques, de siphonner des journaux d'appels, ou d'implanter des charges utiles de ransomware.

Selon les analyses publiées par Horizon3 et BleepingComputer début septembre 2026, la majorité des systèmes Switchvox accessibles depuis Internet ont soit déjà été ciblés, soit présentent une exposition imminente. La nature non authentifiée de l'exploitation et la facilité d'automatisation via des scripts de scan rendent cette faille particulièrement dangereuse dans un contexte d'exposition publique directe.

Sangoma a publié le correctif dans la version 8.4.0.2 le 14 juillet 2026, soit près de six semaines avant que l'exploitation active ne soit documentée. Cette fenêtre de six semaines entre le correctif et l'exploitation massive illustre un phénomène récurrent : les organisations tardent à appliquer les mises à jour sur les équipements de téléphonie, perçus comme moins critiques que les serveurs applicatifs ou les postes de travail. Pourtant, un serveur VoIP constitue un point d'entrée de premier choix : il est souvent exposé directement sur Internet, peu supervisé, et connecté au réseau interne de l'entreprise.

Sur le plan de l'attribution, des chercheurs en sécurité ont établi un lien entre l'exploitation active de CVE-2026-9586 et des acteurs associés au groupe Qilin (également connu sous le nom d'Agenda), une opération de ransomware-as-a-service dont l'activité s'est intensifiée en 2026. Qilin cible principalement les infrastructures d'entreprise ; l'accès à un serveur VoIP central lui offre un pivot stratégique vers les réseaux internes, y compris les serveurs de sauvegarde et les contrôleurs de domaine.

Cette faille s'inscrit dans une vague plus large : lors de la même mise à jour KEV du 2 septembre 2026, la CISA a ajouté six autres vulnérabilités incluant des failles dans SonicWall SMA 1000 (CVE-2026-83548, CVSS 10.0), JFrog Artifactory (CVE-2026-82329, CVSS 9.8), Kestra OSS (CVE-2026-49869, CVSS 10.0), et des dépendances d'infrastructure IA telles que Starlette et LiteLLM. La convergence de ces ajouts au KEV illustre la rapidité avec laquelle les acteurs malveillants industrialisent leur exploitation dès qu'une preuve de concept devient publique.

En France, le CERT-FR suit cette faille et recommande l'application immédiate du correctif pour tout équipement Switchvox exposé sur Internet, en particulier dans les secteurs sensibles où la téléphonie joue un rôle critique dans les communications opérationnelles. Les intégrateurs VoIP qui gèrent des parcs Switchvox chez leurs clients sont invités à prioriser ce patch dans leurs plans de maintenance courants.

Impact et exposition

Sangoma Switchvox est déployé chez des milliers d'organisations à travers le monde, principalement des PME et des ETI dans les secteurs de la santé, de la finance, de la distribution et des services. En France, la plateforme est présente chez de nombreux intégrateurs télécoms. Toute instance accessible depuis Internet fonctionnant en version 8.3 ou antérieure (build 104997 inclus) est vulnérable à une exploitation non authentifiée et automatisable.

Les données à risque incluent les journaux d'appels, les enregistrements vocaux si la fonctionnalité est activée, les répertoires d'entreprise, les configurations réseau, et potentiellement les identifiants d'accès au système d'information sous-jacent. Un serveur VoIP compromis peut également servir d'écoute passive sur l'ensemble des communications téléphoniques internes et externes de l'organisation.

Recommandations

• Mettre à jour immédiatement vers Switchvox SMB Edition 8.4.0.2, disponible auprès de Sangoma. Ne pas attendre la prochaine fenêtre de maintenance planifiée.
• Isoler l'instance exposée : si la mise à jour immédiate est impossible, retirer l'exposition Internet de l'équipement via une règle de filtrage ou un accès VPN obligatoire en attente du correctif.
• Auditer les journaux de l'endpoint /pa : rechercher des requêtes HTTP contenant des éléments XML PolycomIPPhone avec des valeurs PhoneIP anormales (apostrophes, caractères d'injection) depuis le 30 août 2026.
• Vérifier l'intégrité du système : sur toute instance ayant été exposée, rechercher des processus inattendus, des connexions sortantes anormales, et des fichiers créés récemment dans les répertoires système.
• Déployer une supervision renforcée sur les flux sortants du serveur VoIP, notamment les connexions vers des adresses IP non répertoriées dans l'infrastructure connue.