Sangoma Switchvox SMB Edition 미인증 원격 코드 실행(RCE) 및 SQL 인젝션 취약점 긴급 보안 권고 (CVE-2026-9586)

1. 공식 보안 패치 적용

제조사에서 배포한 최신 보안 패치 버전으로 즉시 업그레이드하십시오.

• 권장 버전: Switchvox 8.4.0.2 이상
• 업데이트 방법: Switchvox 관리자 웹 콘솔(Admin Web Suite)에 접속하여 Server > Updates 메뉴를 통해 최신 릴리스를 다운로드 및 적용하십시오.

2. 임시 완화 조치 (패치 적용이 불가능한 경우)

• 네트워크 접근 제어 (ACL): 방화벽 또는 보안 그룹 설정을 통해 외부 인터넷에서 Switchvox 장비의 웹 인터페이스 및 /pa 엔드포인트로 직접 접근하는 것을 차단하십시오. 신뢰할 수 있는 내부 IP 대역 또는 VPN을 통해서만 접근을 허용하십시오.
• WAF(웹 애플리케이션 방화벽) 룰 적용: /pa 엔드포인트로 인입되는 XML POST 요청 중 PhoneIP 태그 내에 SQL 특수문자(', --, ;) 또는 시스템 명령어 실행 관련 키워드가 포함된 요청을 차단하도록 WAF 규칙을 구성하십시오.

  # Nginx 기반 임시 차단 예시 (참고용)
  location /pa {
      if ($request_method = POST) {
          # 특정 IP 대역 외 접근 차단
          allow 192.168.1.0/24;
          deny all;
      }
  }

Sangoma Switchvox SMB Edition의 /pa 엔드포인트에서 심각한 SQL 인젝션(SQLi) 취약점(CVE-2026-9586)이 발견되었습니다. 이 취약점은 입력값 검증 부재 및 부적절한 쿼리 생성(CWE-89)으로 인해 발생합니다.

취약점 메커니즘

• 입력값 처리 결함: /pa 엔드포인트는 XML 콘텐츠를 수신하여 처리합니다. 이 과정에서 사용자가 제어할 수 있는 PhoneIP 요소의 값이 적절한 필터링이나 매개변수화(Parameterization) 없이 백엔드 PostgreSQL 쿼리에 직접 문자열로 연결(Concatenation)됩니다.
• 인증 우회: 공격자는 어떠한 사용자 인증이나 세션 토큰 없이도 해당 엔드포인트에 접근하여 악의적인 XML 페이로드를 전송할 수 있습니다.
• 원격 코드 실행(RCE) 연계: PostgreSQL 데이터베이스 엔진의 특성을 악용하여, 공격자는 단순 데이터 유출을 넘어 COPY ... FROM PROGRAM 구문 또는 UDF(User-Defined Functions) 로딩 등을 통해 기본 운영체제(OS) 레벨에서 임의 명령어를 실행할 수 있는 권한을 획득하게 됩니다.

본 취약점은 실제 공격에 악용되고 있는 것으로 확인되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었으며, EPSS 점수가 0.94에 달해 즉각적인 대응이 요구됩니다.