Sangoma Switchvox の /pa エンドポイントで未認証のSQLインジェクション（8.4.0.2 未満・KEV・悪用確認済み）

Critical（CVSS 9.8）に分類されるSangoma Sangoma Switchvox。中小企業向けの IP PBX（電話交換機）アプライアンスで、オンプレミスに置かれる。NVD の適用範囲は cpe:2.3:a:sangoma:switchvox の on-premises 版、8.2.2.1 以上 8.4.0.2 未満である。の脆弱性です。NVD の記述はこうである。「Sangoma Switchvox SMB Edition 8.3 (104997) に未認証の SQL インジェクションの脆弱性が存在する。**`/pa` エンドポイントは `<PolycomIPPhone>` で始まる XML を処理し、利用者が制御できる `PhoneIP` の値を、無害化もパラメータ化もせずに PostgreSQL のクエリへ直接連結している。**未認証のリモート攻撃者は、細工した単一のリクエストで、背後の PostgreSQL データベースに対して任意の SQL 文を実行できる。データベース操作およびリモートコード実行を含む」。 **この案件の要点は、認証の前に SQL へ届く経路があったことである。** `/pa` は Polycom などの IP 電話機がプロビジョニング情報を取りに来るためのエンドポイントで、**電話機が認証を持たない以上、この口は認証の外側に置かれる**。そこへ渡ってくる `PhoneIP` が文字列連結でクエリに入っていた。攻撃者が電話機を装う必要すらなく、XML を1本投げるだけで届く。 **「SQL が実行できる」で止まらないのがこの案件である。** NVD の記述は remote code execution まで明記している。PostgreSQL 側で実行できる操作を足がかりに、PBX の OS 上でコードを動かせる、という到達点である。**電話交換機は通話の内容と発着信の記録を持つ**ので、侵害されたときに出ていくものが Web サーバとは質的に違う。 **CVSS は 9.8（Critical）。**AV:N / AC:L / PR:N / UI:N、影響は C:H / I:H / A:H。**権限も利用者の操作も不要で、ネットワークから届けば成立する**という最も重い組み合わせである。 **CISA は 2026-09-02 にこれを KEV へ収載した。** KEV 収載は「実際に悪用が確認された」という意味であり、是正期限は **2026-09-05**（すでに経過している）。悪用の実証は Horizon3.ai と SRA Labs から公開されている。 **発見から KEV 収載までに時間が空いている点に注意が要る。** NVD の公開は 2026-07-17、Sangoma の修正版 8.4.0.2 は 2026-07-14 のリリースノートに載っている。**修正は7月に出ていて、悪用が広がったのが9月**という順序である。「7月に見て、そのときは静かだったから後回しにした」環境が、いま最も危ない。

対応は **Switchvox を 8.4.0.2 以上へ更新する**ことである。Sangoma のリリースノート（2026年7月14日付・Version 8.4.0.2）が修正版であり、NVD の適用範囲も 8.4.0.2 未満で切られている。**8.2.2.1 より前の版は NVD の範囲外だが、それは「安全」という意味ではなく「この CVE の照合対象外」という意味である**ので、古い版を使っているなら同じく最新へ上げる。 **更新できない期間の回避は、`/pa` に到達できる範囲を絞ることである。** このエンドポイントは IP 電話機がプロビジョニングのために叩く口なので、**社内の電話機セグメントからしか届かないようにする**のが本筋である。インターネットから Switchvox の管理面・プロビジョニング面が見えている環境は、まずそこを閉じる。VPN 越しに限定する、あるいは前段のファイアウォールで送信元 IP を電話機のサブネットに限定する。**「電話機が外から繋がる必要がある」場合でも、`/pa` を無制限に開ける理由にはならない**（SIP のシグナリングとプロビジョニングは別の口である）。 **侵害の確認は、Web アクセスログの `/pa` へのリクエストを見る。** 本文に `<PolycomIPPhone>` を含み、`PhoneIP` に引用符・セミコロン・`SELECT` / `UNION` / `pg_` などの SQL 断片が混ざっているものを探す。加えて **PostgreSQL 側のログ**（`log_statement` が有効なら）で、想定外のテーブルへの参照やスーパーユーザ権限の操作が無いかを見る。RCE まで至った形跡を探すなら、PBX 上の予期しないプロセス・cron・外向き通信も確認する。 **電話機というシステムの性質上、確認すべきものが1つ増える。** 侵害が疑われる場合は、**通話転送・外線発信の設定が書き換えられていないか**を必ず見る。PBX の侵害は情報の持ち出しだけでなく、**国際電話の不正発信（トールフラウド）による直接の金銭被害**につながる。 **KEV の是正期限 2026-09-05 は既に経過している。** 米国連邦機関向けの期限だが、悪用が確認されている以上、実務上は「いま止まっている作業より優先する」水準として読むのが妥当である。

Sangoma Sangoma Switchvox。中小企業向けの IP PBX（電話交換機）アプライアンスで、オンプレミスに置かれる。NVD の適用範囲は cpe:2.3:a:sangoma:switchvox の on-premises 版、8.2.2.1 以上 8.4.0.2 未満である。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-9586）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/05 です。早急な対応が推奨されます。