CVE-2026-116779: zdalne wykonanie poleceń przez SIP MESSAGE we FreeSWITCH

Podsumowanie

Parametr	Wartość
CVE ID	CVE-2026-116779
Źródło alertu	CISA KEV - Aktywna eksploatacja
Rok publikacji CVE	2026
Data publikacji	2026-11-09
Producent	SignalWire
Produkt	FreeSWITCH
CVSS Score	9.8 (Krytyczny)
EPSS Score	1.3% (percentyl: 71%)
CISA KEV	Tak - potwierdzona aktywna eksploatacja
Ransomware	Nie potwierdzono
Termin na reakcję	2026-11-12

Opis podatności

Źródło: NVD, CISA KEV, GitHub Advisory GHSA-mg63-h38w-8p9p

FreeSWITCH to programowa platforma telekomunikacyjna (softswitch) rozwijana przez SignalWire. W wersjach do 1.11.2 włącznie funkcja sofia_presence_handle_sip_i_message() dzieli pole użytkownika w nagłówku To przychodzącej wiadomości SIP MESSAGE na znaku + i traktuje lewą część jako wybór protokołu czatu. Moduł mod_dptools rejestruje protokół czatu api, który przekazuje adres do switch_api_execute(). Każdy, komu uda się dostarczyć wiadomość MESSAGE do profilu SIP, może więc wskazać polecenie API, które FreeSWITCH wykona — nic nie ogranicza tego wyboru.

Skutkiem jest wykonanie poleceń z uprawnieniami procesu FreeSWITCH: dowolne polecenia systemu operacyjnego, ujawnienie konfiguracji i poświadczeń oraz pełna kontrola nad połączeniami. Gdy załadowany jest mod_lua (jak w konfiguracji standardowej), dostępny jest też drugi kanał — kod Lua z pełną biblioteką standardową. Obsługa czatu jest domyślnie włączona w standardowych profilach internal i external, a wewnętrzna lista ACL nie obejmuje wiadomości MESSAGE. Gdy MESSAGE wymaga uwierzytelnienia, wystarczy dowolne konto w profilu (numer wewnętrzny, aparat, trunk); instalacje z przykładowym użytkownikiem default bez hasła z conf/vanilla nie wymagają nawet tego. Według GitHub Advisory luka jest wykorzystywana w atakach; CISA dodała ją do katalogu KEV.

Wymagane działania

• Zaktualizuj FreeSWITCH do wersji 1.11.3 lub nowszej. Poprawka dodaje parametr profilu enable-chat-api-proto, domyślnie wyłączony — wiadomość wybierająca protokół api otrzymuje odpowiedź 403 i jest logowana. Termin CISA dla agencji federalnych USA: 2026-11-12.
• Do czasu aktualizacji ustaw enable-chat=false w każdym profilu SIP, który nie potrzebuje przychodzącego czatu SIP — zatrzymuje to wiadomość, zanim zostanie przetworzony wybór protokołu.
• Usuń użytkowników katalogu bez password i bez a1-hash (w conf/vanilla są to default i przykład Skinny). Samo auth-messages ani disable_system_api_commands=true nie zamyka luki — ogranicza ją tylko częściowo.
• Przejrzyj logi FreeSWITCH i systemu pod kątem nietypowych wiadomości SIP MESSAGE, nieoczekiwanych poleceń API i procesów uruchomionych przez użytkownika usługi FreeSWITCH; po incydencie zrotuj poświadczenia SIP i trunków.

Kogo dotyczy?

Podatność dotyczy instalacji FreeSWITCH firmy SignalWire do wersji 1.11.2 — samodzielnych centralek i bramek VoIP, systemów contact center i IVR, a także platform zbudowanych na FreeSWITCH (np. FusionPBX). Ryzyko jest największe tam, gdzie profile SIP przyjmują ruch z internetu lub od wielu zewnętrznych abonentów i trunków. Jeśli korzystasz z rozwiązania VoIP dostawcy, zapytaj go, czy opiera się na FreeSWITCH i kiedy dostarczy poprawkę.

Źródła

• NVD - CVE-2026-116779
• CISA KEV Catalog
• GitHub Advisory - GHSA-mg63-h38w-8p9p
• FreeSWITCH 1.11.3 - informacje o wydaniu
• FIRST EPSS

---

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.