Una explicación de una vulnerabilidad en FreeSWITCH (software de código abierto usado en centralitas de telefonía IP y plataformas de llamadas de centros de contacto) que permite que el tratamiento de SIP MESSAGE ejecute comandos administrativos. Está escrita para quienes operan telefonía IP, centros de contacto e infraestructura de llamadas, y cubre el impacto y la respuesta desde el lado de la defensa y sin pasos de ataque.
- CVE
- CVE-2026-116779 (aviso de GitHub GHSA-mg63-h38w-8p9p)
- Gravedad
- CVSS v3.1 9.8 (crítica; vector AV:N/AC:L/PR:N/UI:N; asignada por GitHub)
- Tipo
- Inyección de comandos (CWE-77, CWE-78); método peligroso expuesto (CWE-749)
- Condiciones previas
- Aviso: poder enviar un SIP MESSAGE que el perfil acepte. Registro CVE: basta cualquier cuenta autenticada (algunas configuraciones eliminan la barrera de autenticación)
- Afectado
- SignalWire FreeSWITCH 1.11.2 y anteriores
- Corrección
- FreeSWITCH 1.11.3 o posterior (el nuevo ajuste está desactivado por defecto)
- Fechas
- Aviso: 28 de octubre de 2026 / registro CVE: 5 de noviembre de 2026
- Explotación
- El aviso afirma que se ha observado en la práctica. Añadido a CISA KEV el 9 de noviembre (plazo: 12 de noviembre)
El riesgo de esperar
FreeSWITCH se ejecuta como un demonio y, según el aviso, los comandos del sistema operativo se ejecutan con sus privilegios. Su configuración suele contener credenciales de cuentas SIP, de troncales y de conexiones de gestión, de modo que una filtración va más allá de la plataforma de telefonía. También pueden controlarse las llamadas; en la valoración de este sitio, eso podría llevar a cargos por llamadas salientes fraudulentas.
Qué es la vulnerabilidad
Según el aviso, el tratamiento por FreeSWITCH de los SIP MESSAGE (mensajes de texto) entrantes elegía un tipo de chat a partir de cómo se dirigía el mensaje. Elegir uno de esos tipos ejecutaba la API administrativa de FreeSWITCH, de modo que los comandos de la API, incluidos los que ejecutan comandos del sistema operativo, se ejecutan con los privilegios del demonio. Este sitio no describe la forma del mensaje ni cómo se hace la selección.
El aviso dice que el chat entrante está activado en los perfiles internal y external de serie. Es decir, puede estar afectado sin ninguna configuración especial.
Antes (1.11.2 y anteriores)
- Un SIP MESSAGE aceptado puede llegar a la API administrativa
- El chat entrante está activado en los perfiles de serie
- Basta tener una cuenta autenticada para ejecutarlo
Cambios en la 1.11.3 y posteriores
- Elegir la API pasa a ser un ajuste por perfil (enable-chat-api-proto)
- Ese ajuste está desactivado salvo que se active expresamente
- Los perfiles que no necesitan chat pueden dejar de recibirlo con enable-chat
Quién está afectado
| Elemento | Detalle |
|---|---|
| Producto | SignalWire FreeSWITCH |
| Versiones afectadas | 1.11.2 y anteriores (redacción del registro CVE: anteriores a la 1.11.3) |
| Versión corregida | 1.11.3 o posterior |
| Cierra del todo el camino | enable-chat en false en el perfil pertinente |
| Solo mitigación | Autenticación de MESSAGE (auth-messages, activada por defecto desde la 1.10.7); eliminar usuarios del directorio sin contraseña |
| No lo cierra | disable_system_api_commands en true (elimina solo la API system) |
- Un usuario del directorio sin contraseña (el aviso cita como ejemplo el usuario por defecto del directorio conf/vanilla) elimina la barrera de autenticación. No se exige autenticación a ese usuario salvo que allow-empty-password esté en false.
- Los productos de IP-PBX y de plataformas de llamadas que integran FreeSWITCH pueden entregar la corrección con su propia numeración de versiones. Pregunte a su proveedor.
Cómo comprobar si está afectado
Compruebe su versión de FreeSWITCH
Compruebe la versión en ejecución (por ejemplo con el comando version de fs_cli) o la versión del paquete o del contenedor. La 1.11.2 o anterior está afectada. Si tiene varias centralitas (producción, preproducción, desarrollo, una por sede), compruebe cada una (lista de comprobación del inventario de activos).
Compruebe si los receptores SIP están expuestos
Compruebe si los perfiles de Sofia (internal, external y otros) son accesibles desde internet o desde cualquier otra red no confiable. Incluya los puertos abiertos para troncales y los terminales de los teletrabajadores.
Compruebe los ajustes de chat
Mire enable-chat y auth-messages en cada perfil. El aviso dice que el chat entrante está activado en los perfiles internal y external de serie. Anote también qué perfiles usan realmente el chat.
Qué hacer hoy
Actualice a la 1.11.3 o posterior (máxima prioridad)
Actualice FreeSWITCH a la 1.11.3 o posterior. El plazo de KEV es el 12 de noviembre. Si va integrado en un producto, aplique la versión corregida de su proveedor.
Ponga enable-chat en false en los perfiles que no usen chat
El aviso enumera enable-chat en false en todos los perfiles que no necesiten chat SIP entrante como la única medida que cierra del todo el camino. Hágalo la medida provisional principal hasta que pueda actualizar, y mantenga desactivados los perfiles sin uso después.
Refuerce la autenticación y limite el acceso (mitigación)
Active auth-messages y elimine los usuarios del directorio que no tengan contraseña o a1-hash. Como añadido propio de este sitio, limite las direcciones de origen que pueden llegar a los receptores SIP a sus troncales y a los terminales que lo necesiten. Esto solo reduce quién puede atacar; no cierra el camino.
Compruebe si ya ha sido comprometido
Como se ha observado explotación, para el periodo anterior a la actualización busque SIP MESSAGE entrantes inesperados, llamadas salientes inesperadas o un aumento de los cargos por llamadas, y procesos inesperados o cambios en los archivos de configuración. KEV marca esta entrada para triaje forense. La guía de corrección de vulnerabilidades cubre el proceso.
Rote las credenciales si tiene dudas
El aviso dice que pueden divulgarse la configuración y las credenciales. Si encuentra señales sospechosas, rote las contraseñas de las cuentas SIP, las credenciales de troncales y las contraseñas de las conexiones de gestión, y hable con su operador.
Estado de la explotación
- El aviso y el registro CVE afirman ambos que se ha observado la explotación de este camino.
- CISA lo añadió a KEV el 9 de noviembre de 2026 con un plazo del 12 de noviembre (versión 2026.11.09 del catálogo KEV).
- KEV registra el uso en ransomware como Desconocido y el triaje forense como Sí.
- La valoración de CISA (explotación activa, automatizable, impacto técnico total) se ha añadido al registro CVE.
- El estado en NVD es Analyzed.
- No se pudo confirmar información pública sobre escala, actores ni número de víctimas.
La visión de este sitio: prefiera el ajuste que impide la recepción a las mitigaciones
Razonar «exigimos autenticación, así que estamos bien» es arriesgado, por dos motivos.
Primero, el aviso afirma que la autenticación es solo una mitigación, y una sola cuenta autenticada robada da el mismo resultado. Segundo, muchas centralitas no usan chat en absoluto, y para ellas poner enable-chat en false no cuesta nada en operación. Un cambio sin impacto en el negocio que cierra el propio camino debería ir primero, junto con la actualización (priorizar con CVSS, EPSS y KEV).
Fuentes
- SignalWire FreeSWITCH — GHSA-mg63-h38w-8p9p: Inbound SIP MESSAGE can select the api chat proto and run FreeSWITCH API commands (publicado el 28 de octubre de 2026; versiones afectadas y corregidas, mitigaciones, explotación observada)
- CVE.org — CVE-2026-116779 (publicado el 5 de noviembre de 2026; anteriores a la 1.11.3; CVSS 9.8; incluye la inclusión por CISA)
- NVD — CVE-2026-116779 (Analyzed; CWE-77, CWE-78, CWE-749)
- CISA KEV — Known Exploited Vulnerabilities Catalog (añadido el 9 de noviembre, plazo el 12 de noviembre)
Última verificación: 10 de noviembre de 2026.