Standard téléphonique Switchvox : une faille exploitée depuis fin août
En bref
Une faille d’injection SQL du standard téléphonique Switchvox, de Sangoma, permet à un attaquant sans identifiant d’agir sur sa base de données et d’y exécuter du code. Des tentatives sont observées depuis le 30 août 2026, et la CISA l’a inscrite le 2 septembre parmi les failles exploitées. Le correctif est la version 8.4.0.2, sortie le 14 juillet 2026.
On pense au pare-feu, aux ordinateurs, rarement au standard téléphonique. Pourtant, un standard installé dans les locaux est un serveur comme un autre, relié au réseau et souvent à Internet. Le Switchvox de Sangoma, un standard pour PME, en donne un exemple : une faille corrigée en juillet 2026 est exploitée depuis la fin août.
Que s’est-il passé ?
La faille porte le numéro CVE-2026-9586. C’est une injection SQL : en envoyant une seule requête fabriquée à une adresse du standard qui ne demande aucun identifiant, un attaquant peut faire exécuter ses propres commandes à la base de données du Switchvox, jusqu’à exécuter du code sur l’appareil. C’est la description qu’en donne l’agence américaine de cybersécurité, la CISA, qui l’a inscrite le 2 septembre 2026 dans son catalogue des failles exploitées.
D’après Help Net Security, le 2 septembre 2026, la faille a été découverte en avril 2026 par les chercheurs de Horizon3 et, de leur côté, par ceux de Security Risk Advisors, puis signalée à Sangoma. Des systèmes pièges installés par Horizon3 ont vu les premières tentatives le 30 août 2026, depuis une seule adresse. L’attaquant y a ensuite téléchargé un second programme, qui ressemblait à un logiciel de minage de cryptomonnaie, et des dizaines d’autres adresses ont suivi.
Le correctif existait déjà : la version 8.4.0.2 de Switchvox, sortie le 14 juillet 2026, corrige cette faille et huit autres, selon ses notes de version. Help Net Security cite l’édition PME de Switchvox en version 8.3 parmi les versions touchées.
Les trois pages ont été lues le 25 octobre 2026.
Votre standard est-il concerné ?
| Votre situation | Ce qu’il faut faire |
|---|---|
| Switchvox installé chez vous, version antérieure à 8.4.0.2 | Mettre à jour vers 8.4.0.2 ou plus, et chercher des traces d’intrusion |
| Switchvox en 8.4.0.2 ou plus | La faille est corrigée ; vérifier que l’administration n’est pas ouverte à tous |
| Mise à jour impossible tout de suite | Restreindre l’accès réseau aux interfaces du Switchvox, d’après les recommandations reprises par Help Net Security |
| Standard d’une autre marque | Pas concerné par cette faille ; la question de l’exposition reste la même |
La version installée s’affiche dans l’interface d’administration du standard. Sangoma demande de lire une note de version antérieure, sur le matériel et les fonctions retirées, avant de passer à une version 8.
Que faire, concrètement ?
- Mettre à jour vers la version 8.4.0.2 ou plus récente.
- Chercher des signes d’intrusion : Horizon3 a publié les indicateurs observés, auxquels renvoie l’article de Help Net Security. Une mise à jour ferme la faille ; elle ne retire pas ce qu’un attaquant aurait déjà installé.
- Fermer l’accès depuis Internet à l’interface d’administration du standard. Si vous devez y accéder de l’extérieur, passez par un VPN plutôt que par un port ouvert.
- Ranger le standard à sa place dans le réseau : les téléphones et le standard sur un réseau séparé des ordinateurs, avec seulement les échanges nécessaires autorisés.
Le dernier point vaut pour toute téléphonie installée dans les locaux. Si le standard est un jour compromis, il ne doit pas ouvrir la voie vers les postes de l’équipe. Nous l’expliquons dans Caméras, téléphones, invités, bureaux : quel réseau pour chaque appareil ?
Ce que fait SateLink
SateLink Solution est une entreprise indépendante, sans lien avec Sangoma. Que votre standard vienne de nous ou d’ailleurs, Romuald et son équipe peuvent vérifier avec vous comment il est raccordé, ce qu’il expose sur Internet et sur quel réseau sont vos téléphones.
Pour la téléphonie, deux formules sont possibles : une téléphonie en partenariat avec Belcenter, opérateur télécom belge des entreprises, et une VoIP mise en place par nos soins, qui ne passe pas forcément par Belcenter. Le détail est sur la page Téléphonie d’entreprise et dans le guide de la téléphonie d’entreprise. Pour la sécurité de tout le réseau, lisez le guide de la cybersécurité du réseau pour une PME.
En résumé
- CVE-2026-9586, une injection SQL du standard Switchvox de Sangoma, ne demande aucun identifiant.
- Des tentatives sont observées depuis le 30 août 2026 ; la CISA l’a inscrite parmi les failles exploitées le 2 septembre.
- La version 8.4.0.2, sortie le 14 juillet 2026, la corrige.
- En attendant, l’accès réseau au standard se restreint, et l’administration ne s’ouvre pas sur Internet.
Pour savoir si votre téléphonie est exposée, l’appel de cadrage est gratuit : trente minutes pour voir comment elle est raccordée.
