Un centralino telefonico che diventa porta d'ingresso alla rete
Un centralino VoIP dovrebbe gestire chiamate, non regalare l'accesso amministrativo a chi lo attacca da internet. È esattamente quello che sta succedendo con Switchvox, il PBX aziendale di Sangoma: una falla identificata come CVE-2026-9586 permette di prendere il controllo del sistema senza nemmeno una password.
Come funziona l'attacco
Il problema sta in un endpoint dell'interfaccia web (/pa) che accetta un parametro, PhoneIP, senza validarlo. Chi invia una richiesta creata ad arte riesce a iniettare comandi SQL diretti nel database PostgreSQL del centralino, e da lì a far eseguire codice arbitrario sul sistema tramite una funzione di PostgreSQL che lancia programmi esterni. Risultato: reverse shell aperta sul dispositivo, senza credenziali, senza autenticazione, senza bisogno di ingannare nessuno.
Migliaia di sistemi esposti, patch disponibile da luglio
La vulnerabilità è stata segnalata dai ricercatori di Horizon3 già ad aprile 2026, e successivamente confermata in modo indipendente da Security Risk Advisors. Sangoma ha rilasciato la correzione il 14 luglio, con la versione 8.4.0.2. Peccato che, a fine agosto, Shodan contasse ancora circa 4.000 centralini Switchvox raggiungibili da internet, in gran parte negli Stati Uniti: dispositivi mai aggiornati, o aggiornati troppo tardi.
Lo sfruttamento è iniziato, CISA ha dato una settimana
Il 30 agosto è partita la prima ondata di attacchi reali, da un indirizzo IP riconducibile a infrastrutture in Russia; nei giorni successivi si sono aggiunte decine di altri IP sorgente. Gli attaccanti aprono una shell, enumerano i processi in corso e, in diversi casi, installano malware che sembra un cryptominer. Ma il rischio più concreto per un'azienda non è il minatore di criptovalute: è che il centralino, appoggiato sulla rete interna per gestire telefoni e sistemi collegati, diventi il trampolino per muoversi verso server, gestionali e workstation. Per questo CISA ha inserito la falla nel catalogo delle vulnerabilità note sfruttate il 2 settembre, imponendo alle agenzie federali americane la messa in sicurezza entro oggi, 5 settembre 2026. Una scadenza che vale formalmente solo per il settore pubblico USA, ma che è un segnale chiaro per chiunque abbia un Switchvox esposto: il tempo per aggiornare è già scaduto.
💬 Il mio commento
I centralini telefonici sono tra i sistemi più trascurati nei piani di patching, e questa storia lo dimostra bene. Nessuno pensa al PBX come a un server critico da tenere d'occhio: è quella scatola grigia in uno sgabuzzino che "fa le telefonate" e basta, quindi finché squilla nessuno si preoccupa di aggiornarla. Il problema è che oggi qualunque apparato con un'interfaccia web raggiungibile da internet è, a tutti gli effetti, un server esposto, con tutto ciò che comporta in termini di superficie d'attacco.
Nei sopralluoghi che faccio capita spesso di trovare centralini, NAS, stampanti di rete o gateway VoIP con il pannello di amministrazione accessibile dall'esterno, magari per comodità di gestione remota, senza VPN e senza segmentazione rispetto al resto della rete aziendale. Va bene finché non salta fuori una CVE come questa: allora quel dispositivo dimenticato diventa il punto da cui un attaccante entra ovunque. La prima cosa che controllo sempre è proprio questa: cosa risulta esposto su internet dell'azienda, e se davvero deve esserlo. Un centralino VoIP quasi mai deve avere l'interfaccia di gestione raggiungibile dal mondo esterno.
Un dubbio che mi porto dietro è quanto sia realistico chiedere a una PMI di monitorare gli avvisi di sicurezza di ogni singolo produttore di ogni singolo apparato in rete: è un lavoro enorme se lo fai da solo, ed è il motivo per cui in tanti scoprono la falla solo quando qualcuno l'ha già sfruttata. Se avete un centralino Switchvox o comunque un sistema VoIP esposto e volete che verifichi insieme a voi la sua esposizione reale e la segmentazione rispetto al resto della rete, scrivetemi pure.