目次（5）
CVE-2026-9586
Sangoma Switchvox（IP-PBX・電話交換機）に、認証なしのリモートの攻撃者が SQL インジェクションを足がかりに、データベース操作とコード実行を行える脆弱性（CVE-2026-9586）が公表されました。/pa エンドポイントは <PolycomIPPhone> で始まる XML を処理する際、利用者が制御できる PhoneIP の値を PostgreSQL のクエリへそのまま連結しており、細工した 1 回のリクエストで任意の SQL 文を実行できます。CISA は 2026-09-02 に KEV（悪用が確認された脆弱性）カタログへ追加しています。NVD の CVSS v3.1 は 9.8（AV:N/AC:L/PR:N/UI:N）です。
概要
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-9586 |
| 問題 | /pa エンドポイントが XML 内の PhoneIP を検証・パラメーター化せずに SQL へ連結する SQL インジェクション。認証不要で、データベース操作とリモートコード実行に至る（CWE-89） |
| 対象製品 | Sangoma Switchvox（オンプレミス）8.2.2.1 以上 8.4.0.2 未満（NVD の構成情報）。公表時の記載は SMB Edition 8.3（104997） |
| 修正版 | 8.4.0.2（2026-07-14 付のリリースノート） |
| CVSS v3.1 | 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。NVD の評価 |
| CVSS v4.0 | 9.3（Critical）。CNA 以外の補足評価 |
| NVD の状態 | Analyzed |
| EPSS | 0.1898（パーセンタイル 0.973、2026-11-02 時点） |
| CISA KEV | 2026-09-02 追加。対応期限 2026-09-05 |
なぜ重要か
Switchvox は社内の電話を束ねる機器で、通話記録や内線の情報、連携する認証情報を扱います。この脆弱性は認証が不要で、ネットワーク越しに 1 回のリクエストで攻撃でき、データベースの改ざんやコード実行まで到達します。悪用が確認されており、EPSS も上位 3% 圏内と高いため、インターネットや外部ネットワークから到達できる機器は最優先で確認する必要があります。
対策
- 自組織の Switchvox の版を確認し、8.4.0.2 以降へ更新する。
- 更新までの間は、管理画面と
/paを含む HTTP(S) のアクセスをインターネットへ直接公開せず、VPN や許可した IP アドレスに限定する。IP 電話の自動設定に使う通信は、信頼できる内部のセグメントからのみ受ける。 - KEV の対応期限（2026-09-05）はすでに過ぎている。CISA はフォレンジック調査を求めているため、更新前にデータベースの不審な変更、未知のアカウントや内線、想定外のプロセスや外向きの通信がないかを確認する。
- 侵害の疑いがあれば、機器に保存された管理者・SIP・連携先の認証情報を更新する。
数値と出典（2026-11-03 時点）
| 項目 | 内容 |
|---|---|
| NVD | Analyzed。CVSS v3.1 9.8（NVD） |
| CWE | CWE-89 |
| EPSS | 0.1898（FIRST、2026-11-02） |
| KEV | 2026-09-02 追加、期限 2026-09-05 |
| 出典 | NVD、Sangoma リリースノート 8.4.0.2、CISA KEV、FIRST |
未確認の点
- 悪用の規模、攻撃者、ランサムウェアでの利用の有無。
- 8.2.2.1 未満の旧版や、Switchvox のクラウド提供形態への影響。
- 更新できない場合の公式な回避策（公開されている情報からは確認できていない）。
この記事について
- 執筆・編集
- World Security 編集部
- AI の利用
- 本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-03）のもので、未確認の点は本文に明記しています。
出典
- NVD CVE-2026-9586（NIST NVD）
- Sangoma Switchvox リリースノート 8.4.0.2（Sangoma）
- CISA KEV カタログ（CISA）
- FIRST EPSS（FIRST）
