Dal 30 agosto 2026 gli honeypot di Horizon3.ai, gestiti in collaborazione con la società di threat intelligence Defused Cyber, registrano tentativi di sfruttamento contro CVE-2026-9586, una SQL injection non autenticata in Sangoma Switchvox che porta all'esecuzione di codice remoto. La patch esiste dal 14 luglio. Le istanze esposte su Internet, secondo Shodan, sono circa 4.000.

I fatti

Switchvox è una piattaforma di comunicazione unificata basata sul motore open source Asterisk, pensata per piccole e medie imprese e distribuibile on-premise, in cloud o su infrastruttura virtualizzata. In sostanza: il centralino telefonico dell'azienda.

CVE-2026-9586, che colpisce Switchvox SMB Edition 8.3, ha punteggio CVSS 9.3. Il difetto risiede in un endpoint che elabora contenuti XML e non richiede autenticazione: il valore PhoneIP, controllato dall'utente, viene concatenato dentro query verso il database PostgreSQL di backend senza alcuna parametrizzazione né sanitizzazione. Una richiesta HTTP POST costruita ad arte consente quindi di eseguire istruzioni SQL arbitrarie e, da lì, di arrivare all'esecuzione di comandi sul sistema.

La falla è stata individuata nell'aprile 2026 dai ricercatori di Horizon3 e, indipendentemente e poco dopo, da Security Risk Advisors. Entrambi l'hanno segnalata a Sangoma, che l'ha corretta nella versione 8.4.0.2, rilasciata il 14 luglio 2026.

Gli honeypot erano stati messi in rete a maggio, prima ancora che la correzione fosse disponibile. Il 30 agosto hanno iniziato a vedere gli attacchi. I primi tentativi provenivano da un singolo indirizzo IP (176.65.148.184) e installavano reverse shell, seguite da comandi per enumerare i processi in esecuzione. Nelle ore successive il quadro è peggiorato: lo stesso attore ha iniziato a scaricare un payload di seconda fase che a un primo esame appare essere un cryptominer, e sono comparse decine di ulteriori sorgenti che eseguono scansioni e installano a loro volta malware di seconda fase.

Il ricercatore Zach Hanley di Horizon3 ha osservato che, vista la rapidità con cui i tentativi si sono succeduti su honeypot diversi, è probabile che la quasi totalità delle istanze Switchvox esposte sia già stata presa di mira. Ha anche indicato quale sia, a suo giudizio, il vero valore dell'appliance per un attaccante: un punto di ingresso verso la rete interna, e un contenitore di segreti di integrazione utilizzabili per muoversi lateralmente.

Cosa significa per le PMI italiane

Il numero che conta in questa vicenda non è 4.000, ed è nemmeno 9.3. È 47: i giorni trascorsi fra il rilascio della patch e l'inizio dello sfruttamento di massa. Una finestra ampia, in cui chi aveva un processo di aggiornamento si è messo al sicuro senza fretta. Il problema è che il centralino telefonico, nella tipica PMI italiana, non ha un processo di aggiornamento.

Il PBX appartiene a una categoria di asset che nel nostro tessuto produttivo è sistematicamente orfana: apparati installati anni fa da un fornitore di telefonia, non da un fornitore IT, presi in carico da un contratto di manutenzione che copre il funzionamento del servizio — "i telefoni squillano" — e non la sicurezza del software. Non compaiono nell'inventario dell'IT interno perché "sono del telefonico"; non compaiono nel perimetro del telefonico perché "è un server, lo gestisce l'IT". Quando arriva un bollettino di sicurezza, non c'è un destinatario.

Il secondo problema è dove si trova. Un centralino deve raggiungere ogni telefono dell'azienda, e questo si traduce quasi sempre in regole di rete permissive: VLAN voce che comunica con la VLAN dati, nessuna segmentazione reale, spesso l'interfaccia di amministrazione raggiungibile da Internet perché il tecnico deve poter intervenire da remoto. Un attaccante che ottiene una shell sul PBX non si trova in una nicchia isolata: si trova dentro.

Il terzo problema è cosa contiene. Un centralino aziendale custodisce le credenziali dei trunk SIP verso l'operatore, spesso un account di bind LDAP o Active Directory per la rubrica aziendale, credenziali SMTP per l'inoltro dei messaggi vocali via email, chiavi API delle integrazioni con il CRM. Sono tutte credenziali che valgono fuori dal centralino.

E c'è un danno che in Italia si materializza rapidamente e in modo molto concreto: la frode telefonica. Chi ottiene le credenziali del trunk SIP genera traffico verso numerazioni internazionali a tariffazione speciale, tipicamente di notte o nel fine settimana, e l'azienda scopre tutto sulla fattura successiva. È una perdita finanziaria diretta, difficilmente recuperabile, e non richiede alcuna sofisticazione ulteriore rispetto alla compromissione già avvenuta.

Un'ultima osservazione sul cryptominer. Che il payload di seconda fase sia un minatore di criptovaluta è, paradossalmente, la notizia peggiore: significa che lo sfruttamento non è mirato ma opportunistico e industriale. Chi è esposto verrà colpito, indipendentemente da quanto sia interessante. E significa anche che il primo sintomo percepito sarà una degradazione della qualità delle chiamate, che nella maggior parte dei casi verrà attribuita alla linea e non a una compromissione.

Il quadro normativo

Un centralino conserva dati personali in quantità: i CDR (dettaglio delle chiamate) che ricostruiscono chi ha parlato con chi e quando, le segreterie telefoniche, le rubriche. In contesti come studi medici, studi legali o servizi sociali il contenuto di una segreteria può facilmente rientrare in categorie particolari di dati. La compromissione di un PBX è a tutti gli effetti una violazione di dati personali ai sensi dell'articolo 33 GDPR, con le 72 ore per la valutazione e l'eventuale notifica al Garante, e con l'aggravante che pochissime aziende conservano i log del centralino abbastanza a lungo da poter ricostruire cosa sia stato letto.

Per chi rientra in NIS2, un apparato di comunicazione esposto su Internet e non aggiornato per oltre un mese dopo il rilascio della patch è una carenza documentale prima ancora che tecnica: le misure sull'igiene di base e sulla gestione delle vulnerabilità richiedono che l'inventario copra anche gli apparati che nessuno considera "sistemi informatici". Se l'azienda non è direttamente in perimetro ma fornisce servizi a un soggetto essenziale o importante, il tema arriva comunque, sotto forma di questionario sulla catena di fornitura.

Cosa fare subito

  • Verificare la versione di Switchvox in esercizio e aggiornare almeno alla 8.4.0.2 del 14 luglio 2026. Se il centralino è gestito da un fornitore, chiedere per iscritto versione e data di aggiornamento.
  • Se l'aggiornamento non è immediato, limitare l'accesso di rete alle interfacce Switchvox e in particolare all'endpoint /pa, consentendolo solo da indirizzi noti.
  • Togliere il centralino da Internet: l'amministrazione remota deve passare da VPN. Verificare le proprie reti pubbliche su Shodan o Censys per capire cosa sia realmente esposto.
  • Cercare gli indicatori di compromissione pubblicati da Horizon3, incluse le voci di log specifiche e l'indirizzo 176.65.148.184; controllare processi anomali, connessioni in uscita verso mining pool, e meccanismi di persistenza in cron e systemd.
  • Se ci sono segni di compromissione, ruotare tutti i segreti presenti sull'apparato: password amministrative, credenziali dei trunk SIP, account di bind LDAP/AD, credenziali SMTP, chiavi API delle integrazioni. La patch non revoca ciò che è già stato rubato.
  • Chiedere all'operatore SIP un report del traffico degli ultimi giorni, attivare soglie di spesa e bloccare le destinazioni internazionali non utilizzate: è la mitigazione più efficace contro la frode telefonica.
  • Segmentare: il PBX non deve poter raggiungere l'intera rete interna, e la rete utenti non deve poter raggiungere la sua interfaccia di amministrazione.
  • Assegnare formalmente il centralino a un responsabile e inserirlo nell'inventario degli asset, con l'indicazione di chi riceve i bollettini di sicurezza del produttore.