Sangoma выпустила Switchvox 8.4.0.2 с исправлением CVE-2026-9586

Sangoma выпустила Switchvox версии 8.4.0.2 (105309) 14 июля 2026 года. В релизе появились новые функции и закрыт набор уязвимостей, включая CVE-2026-9586.

В заметке о выпуске Sangoma напоминает: перед обновлением с 7.9.5.2 на 8.x.x нужно прочитать материал о версии 8.0.1 от 28 сентября 2023 года. Там компания указывает на требования к оборудованию и функции, которые больше не поддерживаются.

Что изменилось в Switchvox 8.4.0.2

• Scribe API теперь показывает использованные минуты.
• У Scribe повысили устойчивость обработки.
• Поддерживается прошивка телефонов Sangoma P Series 4_28_1.

Исправления безопасности

В разделе исправлений Sangoma перечисляет несколько уязвимостей. Среди них проблемы с SQL-инъекцией, ограничением путей, выполнением команд ОС, управлением привилегиями и серверной подделкой запросов.

• CWE-89 — некорректная нейтрализация спецсимволов в SQL-команде.
• CWE-22 — неправильное ограничение пути к каталогу.
• CWE-78 — некорректная нейтрализация спецсимволов в команде ОС.
• CWE-269 — неправильное управление привилегиями.
• CWE-918 — подделка запросов на стороне сервера.
• CVE-2026-9588 — хранимый XSS в веб-портале Switchvox.
• CVE-2026-9587 — локальное включение файлов в веб-портале Switchvox.
• CVE-2026-9586 — неаутентифицированное RCE через SQL-инъекцию в Switchvox 8.2.2.1.
• CVE-2026-9585 — отражённый XSS в веб-портале Switchvox.

В документе также указана предыдущая версия Switchvox и ссылка на связанные примечания к выпуску, но отдельного описания сроков для установки 8.4.0.2 там нет. Сам релиз помечен как версия для on-prem и cloud-сценариев.