Luka w centrali telefonicznej Sangoma Switchvox pozwala przejąć urządzenie jednym żądaniem, bez logowania. Ataki trwają od 30 sierpnia 2026. Zaktualizuj do 8.4.0.2 i sprawdź ślady włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które korzystają z centrali telefonicznej Sangoma Switchvox zainstalowanej na własnym serwerze lub maszynie wirtualnej. Werdykt: jeśli Switchvox ma wersję starszą niż 8.4.0.2, zaktualizuj go NATYCHMIAST i sprawdź ślady włamania, bo luka pozwala przejąć centralę bez hasła, a ataki trwają.
Amerykańska agencja CISA 2 września 2026 roku dopisała CVE-2026-9586 do katalogu KEV, czyli listy podatności wykorzystywanych w prawdziwych atakach, i dała agencjom federalnym tylko trzy dni na naprawę. Luka w Switchvox pozwala osobie z internetu, bez logowania, jednym żądaniem przejąć bazę danych centrali i uruchomić na niej własny kod.
Sangoma usunęła błąd w wersji 8.4.0.2 z 14 lipca 2026 roku. Firma Horizon3, która wykryła lukę, zarejestrowała pierwsze ataki 30 sierpnia 2026 roku i ocenia, że większość central dostępnych z internetu jest lub będzie celem. Termin naprawy wg CISA minął 5 września 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-9586 |
Data dodania do CISA KEV | 2026-09-02 |
Termin naprawy wg CISA | 2026-09-05 |
Produkt | Sangoma Switchvox (SMB Edition), centrala telefoniczna VoIP |
Wersje zagrożone | Wg NVD: instalacje lokalne od 8.2.2.1 do wersji przed 8.4.0.2. Rekord CVE od SRA wskazuje 8.3 (104997) do przed 8.4.0.2. Atak nie wymaga logowania. Status wersji chmurowej: producent nie podał osobno |
Wersje bezpieczne | Switchvox 8.4.0.2 (kompilacja 105309) z 14 lipca 2026 i nowsze; ta wersja usuwa też kilka innych luk zgłoszonych przez badaczy |
Typ podatności | SQL injection prowadzące do wykonania kodu; CWE-89 |
Ocena CVSS | 9.8 KRYTYCZNA (NVD, CVSS 3.1); 9.3 KRYTYCZNA (SRA, CVSS 4.0). Atak przez sieć, bez uprawnień, bez udziału użytkownika |
Wyobraź sobie dawną centralę telefoniczną, w której telefonistka przyjmuje zgłoszenia od aparatów i wpisuje je do księgi. Ktoś, kto dzwoni z zewnątrz i zamiast numeru aparatu podyktuje zdanie „a teraz wydaj klucze do budynku”, zostaje potraktowany jak polecenie od szefa. Telefonistka nie sprawdza, kto mówi, bo zakłada, że dzwonią tylko firmowe aparaty.
Tak działa ta luka. Centrala Switchvox przyjmuje informacje od telefonów biurowych i zapisuje je w bazie danych, ale nie sprawdza, czy przesłane dane są tylko danymi. Napastnik z internetu przemyca w nich polecenia dla bazy i przejmuje urządzenie. Według Horizon3 centrala jest cenna jako punkt wejścia do sieci firmowej i może przechowywać hasła do połączonych systemów.
💡 Switchvox to centrala telefoniczna VoIP dla małych i średnich firm: obsługuje numery wewnętrzne, pocztę głosową i przekierowania. SQL injection to błąd, w którym aplikacja wykonuje wstrzyknięte polecenia bazy danych. Honeypot to pułapka udająca prawdziwy system, służąca do obserwowania atakujących. Powłoka zwrotna to połączenie dające napastnikowi zdalne sterowanie urządzeniem.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dostęp do bazy danych centrali | Tylko aplikacja i administrator | Każdy z internetu, jednym żądaniem |
Sterowanie urządzeniem | Tylko zespół IT | Napastnik uruchamia własne programy |
Hasła do połączonych systemów | Chronione na urządzeniu | Mogą zostać wykradzione |
Moc obliczeniowa serwera | Obsługuje rozmowy | Może kopać kryptowaluty dla napastnika |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności, zgodny z ogólnym opisem obserwacji Horizon3. To scenariusz poglądowy.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukanie celów | T+0 | Masowe skanowanie internetu w poszukiwaniu central Switchvox | Lista urządzeń |
2. Przejęcie | T+sekundy | Jedno żądanie wykorzystujące CVE-2026-9586 | Wykonanie kodu na centrali |
3. Rozpoznanie | T+minuty | Sprawdzenie działających procesów i systemu | Wiedza o urządzeniu |
4. Instalacja szkodnika | T+godziny | Pobranie oprogramowania drugiego etapu, np. koparki kryptowalut | Zarabianie na zasobach firmy |
5. Dalszy atak | T+dni | Użycie haseł do integracji i wejście do sieci wewnętrznej | Rozszerzenie włamania |
Centrala telefoniczna rzadko jest traktowana jako system wymagający pilnych aktualizacji, a często musi być dostępna z internetu dla pracowników mobilnych i operatorów. Horizon3 widzi ataki z jednego źródła na wiele pułapek w krótkim czasie, a po publikacji analizy dziesiątki kolejnych adresów zaczęły atakować. To sygnał masowej, zautomatyzowanej kampanii.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zakłócenia lub przerwa w telefonii, odbudowa centrali | Godziny do dni | 15 tys. do 150 tys. PLN (odbudowa, utracone połączenia) |
Bezpieczeństwo danych | Kradzież nagrań, poczty głosowej, historii połączeń i haseł integracji | Godziny | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, możliwe nadużycia połączeń płatnych | Dni do tygodni | 30 tys. do 400 tys. PLN łącznie |
Reputacyjny | Niedostępność infolinii, informacja o wycieku dla klientów | Tygodnie | 20 tys. do 250 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli dotyczy danych osobowych, np. nagrań rozmów; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Switchvox < 8.4.0.2
Wpływ
5 | . . . . ■ ← KRYTYCZNE (centrala dostępna z internetu)
4 | . . . . .
3 | . . . ■ . ← WYSOKIE (tylko sieć wewnętrzna)
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: centrala dostępna z internetu jest w najwyższym polu, bo atak nie wymaga hasła, można go zautomatyzować, a masowe ataki są potwierdzone; centrala tylko w sieci wewnętrznej ma niższe prawdopodobieństwo i mniejszy zasięg skutków.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Switchvox i to, czy jego interfejsy są dostępne z internetu | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Ograniczyć dostęp sieciowy do interfejsów Switchvox tylko do zaufanych adresów | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować Switchvox do 8.4.0.2 lub nowszej | Dziś | Administrator |
4 | 🔴 NATYCHMIAST | Sprawdzić wskaźniki włamania opublikowane przez Horizon3 | Dziś | Administrator |
5 | 🟠 PILNIE | Przy śladach włamania odbudować centralę z czystej kopii i zmienić hasła integracji (CRM, poczta, operator) | Do 24 godzin | CTO |
6 | 🟠 PILNIE | Przejrzeć rachunki telefoniczne i obciążenie serwera centrali od końca sierpnia 2026 | Do 3 dni | CFO |
7 | 🟡 WAŻNIE | Odseparować centralę od reszty sieci firmowej | Do 30 dni | CTO |
Sangoma wydała poprawkę w wersji 8.4.0.2 i nie opublikowała osobnego obejścia. Poniższe środki ograniczają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu do interfejsów Switchvox tylko z zaufanych adresów lub przez VPN | Wysoka wobec ataków z internetu | Łatwa do średniej |
Oddzielenie centrali od sieci wewnętrznej | Średnia: ogranicza skutki | Średnia |
Monitorowanie ruchu wychodzącego z centrali | Średnia: wykrywa, nie zapobiega | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Switchvox | Podatna, bez logowania | 8.4.0.2 lub nowsza |
Dostęp z internetu | Otwarty dla wszystkich | Tylko zaufane adresy |
Hasła integracji | Mogły wyciec | Zmienione |
Wiedza o włamaniu | Brak sprawdzenia | Wskaźniki sprawdzone |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); pierwsze ataki zarejestrowane przez Horizon3 30 sierpnia 2026 |
Grupy przestępcze | Brak publicznych informacji o nazwanej grupie; najpierw jeden adres, potem dziesiątki kolejnych |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown); obserwowano instalację oprogramowania wyglądającego na koparkę kryptowalut |
Ocena CVSS | 9.8 KRYTYCZNA (NVD, CVSS 3.1); 9.3 KRYTYCZNA (SRA, CVSS 4.0) |
PoC dostępny publicznie? | TAK: Horizon3 opublikował opis sposobu wykorzystania wraz ze wskaźnikami włamania |
Liczba atakowanych firm | Brak publicznych danych; około 4000 urządzeń Switchvox w internecie wg Shodan, głównie w USA |
Historia producenta w KEV | Wcześniej do KEV trafiły luki w Sangoma FreePBX (2025 i 2026) |
Sygnały zagrożenia dla CVE-2026-9586
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
Logowanie wymagane NIE ████████████████████ każdy z internetu
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie
Opis ataku publiczny TAK ████████████████████ Horizon3
CISA KEV TAK ████████████████████ ataki potwierdzone 2026-04-10 Horizon3 zgłasza Sangoma luki w Switchvox
2026-05-11 SRA niezależnie zgłasza luki (do 26 maja)
2026-05-26 Rezerwacja numeru CVE-2026-9586
2026-07-14 Sangoma wydaje Switchvox 8.4.0.2 z poprawką
2026-07-17 Publikacja CVE i biuletynu SRA
2026-08-30 Pierwsze ataki w pułapkach Horizon3 i Defused Cyber
2026-09-01 Horizon3 publikuje analizę i wskaźniki włamania
2026-09-02 CISA dodaje lukę do KEV
2026-09-05 Termin naprawy wg CISA
2026-09-17: TUTAJ JESTEŚMY Noty wydania Switchvox 8.4.0.2 z listą poprawek: Sangoma, Switchvox Release Notes 8.4.0.2 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-9586 . Wskaźniki włamania: Horizon3 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy używamy Switchvox, w jakiej wersji i czy jest dostępny z internetu | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe okno serwisowe, także poza godzinami pracy | CTO | DZISIAJ |
3 | Otrzymać wynik sprawdzenia wskaźników włamania | CTO | DZISIAJ |
4 | Sprawdzić rachunki telefoniczne pod kątem nietypowych połączeń | CFO | DO JUTRA |
5 | Sprawdzić ważność umowy serwisowej Sangoma lub partnera wdrożeniowego | CFO | DO JUTRA |
6 | Ustalić, jakie systemy są zintegrowane z centralą i czy trzeba zmienić ich hasła | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja Switchvox działa w firmie i czy to instalacja lokalna, czy chmurowa? | [wersja] | 🔴 |
2 | Czy interfejsy centrali są dostępne z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowano wersję 8.4.0.2 lub nowszą? | [data] | 🔴 |
4 | Czy sprawdziliśmy wskaźniki włamania opublikowane przez Horizon3? | TAK / NIE, [data] | 🔴 |
5 | Jakie hasła do innych systemów są zapisane w centrali? | [lista] | 🟠 |
6 | Czy centrala ma dostęp do sieci wewnętrznej firmy? | TAK / NIE | 🟠 |
7 | Czy mamy kopię konfiguracji centrali sprzed 30 sierpnia 2026? | TAK / NIE, [data] | 🟡 |
CVE-2026-9586 pozwala przejąć centralę Sangoma Switchvox bez hasła, a Horizon3 i CISA potwierdzają masowe ataki od 30 sierpnia 2026 roku. Poprawka w wersji 8.4.0.2 jest dostępna od lipca, więc aktualizacja, ograniczenie dostępu z internetu i sprawdzenie śladów włamania to zadania na dziś, a zmiana haseł integracji to konieczność wszędzie tam, gdzie centrala była wystawiona.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.