更新時間：2026/09/04 13:43:35
發佈時間：2026/09/04 13:43:35
TLP：
(White)
得對外公開散布，但不得違反著作權法等相關規定
更新說明：
一、漏洞說明[1]
VoIP電話管理平臺Sangoma Switchvox存在多項資安漏洞，說明如下：
1. CVE-2026-9585：存在反射型跨網站指令碼（Reflected Cross-Site Scripting, XSS）漏洞，因系統未適當處理portal參數，未經身分驗證的攻擊者可利用此漏洞，使惡意指令碼於受害者瀏覽器中執行。
2. CVE-2026-9586：存在SQL注入漏洞，因系統未適當處理PhoneIP參數，未經身分驗證的遠端攻擊者可透過特製請求對後端PostgreSQL資料庫執行任意SQL陳述式，進而造成遠端程式碼執行。
3. CVE-2026-9587：存在本地檔案引入（Local File Inclusion, LFI）漏洞，因系統未適當驗證sound_path參數中的檔案路徑，已通過身分驗證的攻擊者可利用此漏洞存取預期目錄範圍以外的檔案。
4. CVE-2026-9588：存在儲存型跨網站指令碼（Stored Cross-Site Scripting, XSS）漏洞，因系統未適當處理語音信箱通知範本中的HTML內容，已通過身分驗證的攻擊者可使惡意JavaScript程式碼儲存於伺服器端，並於其他使用者存取相關內容時執行。
二、已揭露攻擊活動說明
1. CISA已納入漏洞利用清單。[2]
▶ 漏洞資訊
⌵
名稱：
CVE-2026-9585、CVE-2026-9586、CVE-2026-9587、CVE-2026-9588
描述：
使用版本：CVSS 4.0-B
分析分數：8.6、9.3、7.1、7.0
參考來源：Security Risk Advisors
▶ 影響平台
⌵
影響平台-系統：
1. Sangoma Switchvox SMB 8.3（104997）至8.4.0.2（不含）以前版本受影響，建議升級至8.4.0.2或以上版本。
▶ 建議措施
⌵
1. 官方已發布修補程式，建議會員依據單位內漏洞管理機制進行相關作業。
▶ 參考資訊
⌵
| 編號 | 網址 | 說明 |
|---|---|---|
| 1 | https://labs.sra.io/posts/switchvox/ | Security Risk Advisors |
| 2 | https://www.cisa.gov/known-exploited-vulnerabilities-catalog | CISA |
情資編號：
FISAC-200-202609-0006
系統目錄：
資安漏洞
資安類別：
漏洞公告 /
影響等級：
3
關鍵字：
弱點漏洞