Hacker Eksploit Celah Sangoma Switchvox untuk Menyebarkan Reverse Shell

Penyerang kini aktif mengeksploitasi kerentanan kritis pada Sangoma Switchvox, platform VoIP yang digunakan perusahaan untuk mengelola sistem telepon bisnis.

Kerentanan yang dilacak sebagai CVE-2026-9586 merupakan celah SQL injection tanpa autentikasi yang dapat dimanfaatkan untuk menjalankan kode dari jarak jauh atau Remote Code Execution (RCE).

Peneliti keamanan dari Horizon3 memperingatkan bahwa sebagian besar sistem Switchvox yang terekspos langsung ke internet kemungkinan sudah menjadi target atau akan segera diserang.

Celah Kritis pada Endpoint Switchvox

Switchvox merupakan platform manajemen VoIP enterprise yang digunakan untuk mengonfigurasi dan memantau sistem telepon perusahaan.

CVE-2026-9586 menjadi yang paling serius dari 12 kerentanan yang ditemukan Horizon3 dan dilaporkan kepada Sangoma pada 10 April 2026.

Sangoma kemudian memperbaiki seluruh masalah tersebut melalui Switchvox versi 8.4.0.2, yang dirilis pada 14 Juli 2026.

CVE-2026-9586 sendiri merupakan SQL injection tanpa autentikasi pada endpoint HTTP /pa. Endpoint tersebut dapat diakses melalui jaringan dan memproses pesan XML yang berisi pasangan nilai tertentu.

Masalah muncul ketika endpoint /pa menerima permintaan untuk memberi tahu sistem telepon lain mengenai suatu aktivitas, seperti kejadian panggilan masuk atau keluar.

Dalam proses tersebut, Switchvox mengambil nilai PhoneIP dari pesan XML dan memasukkannya secara langsung ke dalam query SQL yang tidak menggunakan parameterisasi.

Kondisi ini memungkinkan penyerang menyisipkan perintah SQL berbahaya ke dalam request yang dibuat khusus.

SQL Injection Bisa Berujung Remote Code Execution

Horizon3 berhasil menunjukkan bahwa celah tersebut dapat dieksploitasi dari jarak jauh untuk menjalankan perintah pada sistem operasi Switchvox.

Eksploitasi dilakukan dengan mengirimkan request XML yang telah dimanipulasi menggunakan perintah curl.

Artinya, penyerang tidak membutuhkan kredensial login terlebih dahulu untuk mencoba mengeksploitasi kerentanan tersebut.

Kemampuan menjalankan perintah sistem operasi membuat CVE-2026-9586 jauh lebih berbahaya dibandingkan SQL injection biasa. Setelah memperoleh kemampuan eksekusi kode, penyerang dapat menjalankan payload tambahan dan melakukan aktivitas lain pada sistem yang telah dikompromikan.

Serangan Aktif Mulai Diamati

Pada 30 Agustus 2026, honeypot milik Horizon3 mendeteksi eksploitasi aktif terhadap beberapa sistem dalam waktu yang berdekatan.

Seluruh percobaan tersebut berasal dari satu alamat IP, yaitu 176.65.148.184.

Penyerang terlihat mencoba membuat reverse shell, yaitu koneksi dari sistem korban menuju server yang dikendalikan penyerang. Teknik ini dapat memberikan akses interaktif kepada pelaku setelah eksploitasi berhasil.

Dalam percobaan yang diamati Horizon3, penyerang terlebih dahulu menjalankan payload awal pada sistem Switchvox.

Setelah itu, mereka mengumpulkan informasi mengenai proses-proses utama yang sedang berjalan pada perangkat. Data tersebut kemudian dikirimkan ke server jarak jauh dalam format Base64.

Aktivitas ini menunjukkan bahwa eksploitasi tidak hanya dilakukan untuk menguji keberadaan kerentanan, tetapi sudah diarahkan untuk memperoleh informasi dari sistem yang menjadi target.

Sekitar 4.000 Switchvox Terekspos Internet

Horizon3 memperkirakan tingkat risiko cukup tinggi karena terdapat sekitar 4.000 perangkat Switchvox yang terlihat di internet berdasarkan data Shodan.

Sebagian besar perangkat tersebut berada di Amerika Serikat.

Horizon3 menilai bahwa pola eksploitasi yang terjadi dalam waktu singkat terhadap beberapa honeypot dari sumber IP yang sama mengindikasikan bahwa kampanye serangan kemungkinan dilakukan secara luas.

“Most internet-exposed Switchvox instances will be or have already been targeted.”

Horizon3 sejauh ini belum melihat adanya eksploitasi aktif terhadap 11 kerentanan lainnya yang ditemukan dalam penelitian sebelumnya.

Administrator Diminta Segera Update

Karena CVE-2026-9586 sudah dieksploitasi secara aktif, administrator Switchvox disarankan segera memperbarui sistem ke versi 8.4.0.2 atau yang lebih baru.

Selain melakukan patch, administrator juga sebaiknya memeriksa apakah sistem pernah menjadi target serangan.

Horizon3 menyebut beberapa indikator yang dapat membantu mendeteksi kemungkinan kompromi, termasuk:

• Pernyataan atau aktivitas mencurigakan di /var/log/switchvox/db-quirks.log.
• Koneksi jaringan menuju alamat IP 176.65.148.184.
• Aktivitas jaringan mencurigakan, terutama yang menggunakan port 39323.
• Aktivitas proses yang tidak biasa setelah adanya request ke endpoint /pa.

Mengingat endpoint yang rentan dapat dieksploitasi tanpa autentikasi dan perangkat Switchvox banyak digunakan untuk mengelola komunikasi bisnis, sistem yang masih menggunakan versi rentan sebaiknya diprioritaskan untuk segera diperbarui.

Administrator juga perlu melakukan pemeriksaan log dan koneksi jaringan setelah proses update untuk memastikan tidak ada akses tidak sah yang terjadi sebelum patch diterapkan.

Sumber: Horizon3 dan Sangoma