Sangoma Switchvox ช่องโหว่ SQL injection ถึง RCE CVE-2026-9586

พอดีไล่ฟีด CISA KEV เจอประกาศ Sangoma Switchvox SQL Injection Vulnerability หมายเลข CVE-2026-9586 ซึ่งเปิดให้ผู้โจมตีจากระยะไกลสั่งงานฐานข้อมูลโดยไม่ต้องล็อกอิน และอาจรันโค้ดบนระบบได้ ประเด็นที่ต้องเร่งคือช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว CISA เพิ่มเข้ารายการเมื่อวันที่ 2 กันยายน 2026 และกำหนดวันดำเนินการแก้ไขไว้ที่ 5 กันยายน 2026 ตาม รายการ KEV ของ CISA

เกิดอะไรขึ้น

จุดที่มีปัญหาคือ endpoint /pa ซึ่งรับ XML แล้วนำค่า PhoneIP ไปต่อในคำสั่ง PostgreSQL โดยตรง ผู้ส่งเป็นคนกำหนดค่านี้ แต่ระบบไม่ได้กรองค่าหรือใช้ parameterized query เพื่อแยกข้อมูลออกจากคำสั่ง ผู้โจมตีเลยเปลี่ยนค่าที่ส่งให้กลายเป็นคำสั่ง SQL ได้

ช่องโหว่ประเภทนี้เรียกว่า SQL injection และถูกจัดเป็น CWE-89 กรณีนี้ไม่ต้องมีบัญชีผู้ใช้ ไม่ต้องให้ผู้ใช้กดลิงก์หรือเปิดไฟล์ และคำขอที่สร้างขึ้นเป็นพิเศษเพียงครั้งเดียวก็สามารถสั่ง SQL ตามต้องการได้ ผลกระทบมีทั้งการสั่งงานฐานข้อมูลและ remote code execution หรือ RCE ซึ่งหมายถึงการรันโค้ดบนระบบจากระยะไกล โดย CNA ให้คะแนน CVSS 4.0 ที่ 9.3 ระดับ Critical ตาม CVE record

ใครโดนและรุ่นที่แก้

CVE record กับ release notes ระบุรุ่นที่มีปัญหาต่างกัน ผู้ดูแลควรตรวจทั้งหมายเลขรุ่นและ build ก่อนเทียบกับตาราง

Sangoma ใส่ CVE-2026-9586 ในรายการที่แก้ของ 8.4.0.2 วันที่ 14 กรกฎาคม 2026 แต่ข้อความในรายการอ้างถึงรุ่น 8.2.2.1 ซึ่งเก่ากว่าจุดเริ่มต้นใน CVE record รุ่นที่ไม่ได้ระบุยังสรุปว่าปลอดภัยไม่ได้ ควรถามผู้ผลิตเรื่องรุ่นที่ได้รับผลและทางอัปเกรด ตาม release notes ของ Sangoma

ต้องทำอะไร

เริ่มจากบันทึกรุ่นและ build สำรองข้อมูลพร้อมตรวจว่ากู้คืนได้ แล้วติดตั้ง 8.4.0.2 ตามขั้นตอนอัปเดตของ Sangoma หลังเสร็จให้ตรวจรุ่นอีกครั้งและทดสอบการทำงานที่จำเป็นของระบบ ควรเร่งงานนี้เพราะมีการโจมตีจริงและมีแพตช์แล้ว โดยเฉพาะเครื่องที่เข้าถึงได้จากอินเทอร์เน็ต

Release notes ไม่ได้ให้ workaround เฉพาะสำหรับ CVE นี้ หากยังแพตช์ไม่ได้ ควรถามผู้ผลิตเรื่องวิธีลดความเสี่ยงที่รองรับ การจำกัดผู้ที่เข้าถึงระบบได้เป็นคำแนะนำทั่วไป ไม่ได้ปิดช่องโหว่นี้แทนแพตช์

เนื่องจากเป็นช่องโหว่ที่ถูกโจมตีจริง ควรเก็บและตรวจ log รวมถึงหลักฐานการทำงานผิดปกติควบคู่กับการแพตช์ CISA ระบุให้ทำตามคำแนะนำผู้ผลิตและข้อกำหนด Forensics Triage กำหนดแก้ 5 กันยายน 2026 ใช้กับหน่วยงานรัฐบาลกลางสหรัฐฯ กลุ่ม FCEB การอัปเดตสำเร็จไม่ได้เป็นหลักฐานว่าเครื่องไม่เคยถูกบุกรุก หากพบสิ่งผิดปกติให้ดำเนินกระบวนการตอบสนองเหตุการณ์ต่อ โดยเก็บหลักฐานก่อนเปลี่ยนแปลงระบบเพิ่มเติม

ส่วนตัวผมให้เป็นงานแพตช์เร่งด่วน เพราะโจมตีได้โดยไม่ต้องมีบัญชีและมีการใช้งานจริงแล้ว ที่มา: CISA KEV — Sangoma Switchvox SQL Injection Vulnerability และ CVE-2026-9586 ถ้ามีรายละเอียดเพิ่มเติมที่ควรขยาย เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ