--- title: "Sangoma Switchvox に認証なしの SQL インジェクションから RCE に至る脆弱性（CVE-2026-9586）: CVSS 9.8、CISA KEV に追加済み" url: https://n-t-p.io/worldsecurity/articles/sangoma-switchvox-cve-2026-9586-unauth-sqli-rce-kev lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 緊急 cve: CVE-2026-9586 --- # Sangoma Switchvox に認証なしの SQL インジェクションから RCE に至る脆弱性（CVE-2026-9586）: CVSS 9.8、CISA KEV に追加済み > **TL;DR:** Sangoma Switchvox に、認証なしの SQL インジェクションからデータベース操作とコード実行に至る脆弱性（CVE-2026-9586、CVSS v3.1 9.8）。CISA KEV に 2026-09-02 追加済み。8.4.0.2 以降へ更新し、公開範囲を限定して侵害の有無を点検する。 **要点** - CVE-2026-9586: /pa エンドポイントが XML 内の PhoneIP を SQL へ連結しており、認証なしの 1 回のリクエストで任意の SQL を実行できる - NVD の CVSS v3.1 は 9.8（AV:N/AC:L/PR:N/UI:N）、NVD は Analyzed。対象は 8.2.2.1 以上 8.4.0.2 未満 - CISA KEV に 2026-09-02 追加（期限 09-05）。EPSS 0.19（上位 3% 圏内） - 8.4.0.2 以降へ更新し、/pa を含むアクセスを限定して不審な変更を点検する。旧版・回避策は未確認 Sangoma Switchvox（IP-PBX・電話交換機）に、認証なしのリモートの攻撃者が SQL インジェクションを足がかりに、データベース操作とコード実行を行える脆弱性（CVE-2026-9586）が公表されました。`/pa` エンドポイントは `` で始まる XML を処理する際、利用者が制御できる `PhoneIP` の値を PostgreSQL のクエリへそのまま連結しており、細工した 1 回のリクエストで任意の SQL 文を実行できます。CISA は 2026-09-02 に KEV（悪用が確認された脆弱性）カタログへ追加しています。NVD の CVSS v3.1 は 9.8（AV:N/AC:L/PR:N/UI:N）です。 ## 概要 | 項目 | 内容 | |---|---| | CVE | CVE-2026-9586 | | 問題 | `/pa` エンドポイントが XML 内の PhoneIP を検証・パラメーター化せずに SQL へ連結する SQL インジェクション。認証不要で、データベース操作とリモートコード実行に至る（CWE-89） | | 対象製品 | Sangoma Switchvox（オンプレミス）8.2.2.1 以上 8.4.0.2 未満（NVD の構成情報）。公表時の記載は SMB Edition 8.3（104997） | | 修正版 | 8.4.0.2（2026-07-14 付のリリースノート） | | CVSS v3.1 | 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。NVD の評価 | | CVSS v4.0 | 9.3（Critical）。CNA 以外の補足評価 | | NVD の状態 | Analyzed | | EPSS | 0.1898（パーセンタイル 0.973、2026-11-02 時点） | | CISA KEV | 2026-09-02 追加。対応期限 2026-09-05 | ## なぜ重要か Switchvox は社内の電話を束ねる機器で、通話記録や内線の情報、連携する認証情報を扱います。この脆弱性は認証が不要で、ネットワーク越しに 1 回のリクエストで攻撃でき、データベースの改ざんやコード実行まで到達します。悪用が確認されており、EPSS も上位 3% 圏内と高いため、インターネットや外部ネットワークから到達できる機器は最優先で確認する必要があります。 ## 対策 - 自組織の Switchvox の版を確認し、8.4.0.2 以降へ更新する。 - 更新までの間は、管理画面と `/pa` を含む HTTP(S) のアクセスをインターネットへ直接公開せず、VPN や許可した IP アドレスに限定する。IP 電話の自動設定に使う通信は、信頼できる内部のセグメントからのみ受ける。 - KEV の対応期限（2026-09-05）はすでに過ぎている。CISA はフォレンジック調査を求めているため、更新前にデータベースの不審な変更、未知のアカウントや内線、想定外のプロセスや外向きの通信がないかを確認する。 - 侵害の疑いがあれば、機器に保存された管理者・SIP・連携先の認証情報を更新する。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD | Analyzed。CVSS v3.1 9.8（NVD） | | CWE | CWE-89 | | EPSS | 0.1898（FIRST、2026-11-02） | | KEV | 2026-09-02 追加、期限 2026-09-05 | | 出典 | NVD、Sangoma リリースノート 8.4.0.2、CISA KEV、FIRST | ## 未確認の点 - 悪用の規模、攻撃者、ランサムウェアでの利用の有無。 - 8.2.2.1 未満の旧版や、Switchvox のクラウド提供形態への影響。 - 更新できない場合の公式な回避策（公開されている情報からは確認できていない）。 ## 出典 - [NVD CVE-2026-9586](https://nvd.nist.gov/vuln/detail/CVE-2026-9586) — NIST NVD - [Sangoma Switchvox リリースノート 8.4.0.2](https://sangomakb.atlassian.net/wiki/spaces/Switchvox/pages/1802371073/Switchvox+-+Release+Notes+Version+8.4.0.2+July+14+2026) — Sangoma - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-9586) — CISA - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-9586) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/sangoma-switchvox-cve-2026-9586-unauth-sqli-rce-kev