Los hackers aprovechan una vulnerabilidad de Sangoma Switchvox para implementar shells inversos

Cier­tas en­ti­da­des ma­li­cio­sas están apro­ve­chan­do de forma ac­ti­va una vul­ne­ra­bi­li­dad de in­yec­ción SQL sin au­ten­ti­ca­ción pre­sen­te en la pla­ta­for­ma de te­le­fo­nía IP San­go­ma Switch­vox. Este fallo, iden­ti­fi­ca­do téc­ni­ca­men­te como CVE-2026-9586, po­si­bi­li­ta la eje­cu­ción re­mo­ta de có­di­gos y cons­ti­tu­ye la más grave de un con­jun­to de fa­llas que fue­ron en­con­tra­das por ana­lis­tas de se­gu­ri­dad de Ho­ri­zon3, quie­nes no­ti­fi­ca­ron al pro­vee­dor sobre el pro­ble­ma.

El fallo ra­di­ca en el punto de ac­ce­so HTTP /pa de la pla­ta­for­ma, el cual pro­ce­sa men­sa­jes XML que in­clu­yen pares de cla­ves y va­lo­res es­pe­cí­fi­cos. Al re­ci­bir so­li­ci­tu­des de no­ti­fi­ca­ción entre sis­te­mas te­le­fó­ni­cos, el sis­te­ma ex­trae el campo Pho­neIP del men­sa­je XML e in­te­gra di­rec­ta­men­te su con­te­ni­do en una con­sul­ta SQL sin pa­rá­me­tros, lo que per­mi­te a los ata­can­tes re­mi­tir pe­ti­cio­nes ma­ni­pu­la­das para eje­cu­tar ór­de­nes en el sis­te­ma ope­ra­ti­vo.

Sis­te­mas tram­pa ins­ta­la­dos por los in­ves­ti­ga­do­res de­tec­ta­ron ata­ques ac­ti­vos pro­ve­nien­tes de una di­rec­ción IP es­pe­cí­fi­ca, donde los agre­so­res bus­ca­ron ins­ta­lar una ter­mi­nal in­ver­sa, re­co­pi­lar in­for­ma­ción sobre los pro­ce­sos prin­ci­pa­les de la pla­ta­for­ma y en­viar di­chos datos co­di­fi­ca­dos a un ser­vi­dor ex­terno. Ante este es­ce­na­rio de ata­ques rá­pi­dos y ma­si­vos con­tra di­ver­sos en­tor­nos, los es­pe­cia­lis­tas acon­se­jan a los ad­mi­nis­tra­do­res ac­tua­li­zar la pla­ta­for­ma a la ver­sión so­lu­cio­na­da y re­vi­sar los re­gis­tros y co­ne­xio­nes de red en busca de in­di­cios de in­tru­sión.