Kerngegevens
- Leverancier
- Sangoma
- Product
- Switchvox SMB Edition
- Soort software
- –
- Getroffen versies
- Switchvox SMB Edition vanaf 8.3 (104997) tot 8.4.0.2
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Switchvox SMB Edition 8.4.0.2
- CVE gepubliceerd
- 17 juli 2026
- Op de KEV-lijst sinds
- 2 september 2026
- Gepubliceerd op LekkenRadar
- 24 oktober 2026
- Laatst gewijzigd bij NVD
- 24 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Sangoma Switchvox SMB Edition zit een SQL-injectielek in het onderdeel /pa. Een aanvaller kan zonder inloggen één speciaal opgebouwd verzoek sturen en daarmee eigen opdrachten uitvoeren op de database van het systeem. Daarmee kan hij ook code op het systeem laten draaien. Het lek staat sinds september 2026 op de lijst van actief misbruikte lekken van de Amerikaanse overheidsdienst CISA.
Wie loopt risico?
Je loopt risico als je Sangoma Switchvox SMB Edition gebruikt in een versie vanaf 8.3 (104997) tot 8.4.0.2. De aanval verloopt via het netwerk en vereist geen account. Een Switchvox-systeem dat bereikbaar is vanaf internet of vanuit een groot, onvoldoende afgeschermd netwerk loopt dus het meeste risico. Er is publiek materiaal over dit lek beschikbaar.
Wat moet je doen?
Werk bij naar 8.4.0.2
Installeer Switchvox 8.4.0.2, de versie waarin het lek is opgelost. Lees ook de release notes van de leverancier voor de details van deze update.
Controleer je versie
Kijk na welke versie van Switchvox SMB Edition je draait. Zit die vanaf 8.3 (104997) tot 8.4.0.2, dan ben je getroffen.
Beperk de bereikbaarheid
Zorg dat je telefooncentrale niet onnodig bereikbaar is vanaf internet. Laat alleen de systemen en netwerken erbij die het echt nodig hebben.
Let op tekenen van misbruik
Het lek wordt al actief misbruikt. Controleer na het updaten of er verdachte activiteit is geweest op het systeem, bijvoorbeeld in logbestanden of door onverwachte wijzigingen. Schakel zo nodig een beveiligingsspecialist in.
Kun je niet bijwerken?
Volg dan het advies van Sangoma voor maatregelen. Is er geen maatregel beschikbaar, overweeg dan om het product niet meer te gebruiken.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het /pa-endpoint van Switchvox verwerkt XML-berichten. De waarde PhoneIP uit zo'n bericht wordt zonder opschoning of geparametriseerde queries direct in PostgreSQL-queries geplakt (CWE-89). Een niet-geauthenticeerde aanvaller op afstand kan zo met één gemaakt verzoek willekeurige SQL-opdrachten uitvoeren op de onderliggende database, en daarmee ook code op het systeem laten uitvoeren. De CVSS 4.0-score is 9,3, met aanvalsroute via het netwerk, lage complexiteit en zonder authenticatie of gebruikersinteractie.
CVSS-vector (versie 4.0, basisscore 9,3, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-89 · SQL-injectie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 19,0%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 2 september 2026
- Deadline van CISA
- 5 september 2026
- Gebruikt door ransomwaregroepen
- Niet bekend