FreeSWITCH（IP電話の交換機やコールセンターの通話基盤に使われるオープンソースのソフトウェア）で、SIPのMESSAGEの処理から管理用のコマンドを実行される脆弱性の解説です。IP電話、コールセンター、通話基盤を運用する方向けに、影響範囲と対応策を、攻撃の再現手順は伏せてまとめます。
- CVE
- CVE-2026-116779（GitHub勧告 GHSA-mg63-h38w-8p9p）
- 重大度
- CVSS v3.1 9.8（Critical。ベクターは AV:N/AC:L/PR:N/UI:N。GitHubが付与）
- 種別
- コマンドインジェクション（CWE-77・CWE-78）、危険な機能の露出（CWE-749）
- 前提条件
- 勧告：プロファイルに受け付けられるSIP MESSAGEを送れること。CVEの記録：認証済みアカウントで足りる（認証の障壁がなくなる設定もある）
- 対象
- SignalWire FreeSWITCH 1.11.2以前
- 修正
- FreeSWITCH 1.11.3以降（新しい設定は既定でオフ）
- 公開日
- 勧告：2026年10月28日／CVE：2026年11月5日
- 悪用状況
- 勧告に実環境で観測と明記。CISA KEVに11月9日追加（期限 11月12日）
放置の危険度
FreeSWITCHはデーモンの権限で動くので、勧告によると、OSコマンドの実行はその権限で行われます。設定ファイルには、SIPアカウント、外線の接続先（トランク）、管理用の接続の認証情報が含まれることが多く、漏えいすると通話基盤の外にも影響します。通話を勝手に制御されるおそれもあり、当サイトの見立てでは、不正な発信による通話料金の被害にもつながり得ます。
どんな脆弱性か
勧告によると、FreeSWITCHはインバウンドのSIP MESSAGE（文字メッセージ）の処理で、宛先の指定からチャットの種類を選ぶ作りになっていました。その中の一つを選ぶと、FreeSWITCHの管理用APIが実行され、OSコマンドを実行する機能を含むAPIコマンドを、デーモンの権限で動かせます。メッセージの形や、具体的な選び方は、当サイトは記載しません。
勧告は、インバウンドのチャットが標準の internal・external の両プロファイルで有効だと説明しています。つまり、特別な設定をしていなくても対象になり得ます。
更新前（1.11.2以前）
- 受け付けられたSIP MESSAGEから、管理用のAPIを呼べる
- インバウンドのチャットは標準プロファイルで有効
- 認証していても、そのアカウントがあれば実行できる
更新後（1.11.3以降）の変更点
- APIを選べる機能は、プロファイルごとの設定（enable-chat-api-proto）になる
- その設定は、明示しない限りオフ
- 不要なプロファイルでは、enable-chatで受信自体を止められる
影響範囲
| 項目 | 内容 |
|---|---|
| 製品 | SignalWire FreeSWITCH |
| 影響を受ける版 | 1.11.2以前（CVEの記録の表記では「1.11.3より前」） |
| 修正版 | 1.11.3以降 |
| 完全に塞ぐ措置 | 該当プロファイルで enable-chat を false |
| 緩和にとどまる措置 | MESSAGEの認証（auth-messages）、パスワードのないユーザーの削除（auth-messagesは1.10.7から既定で有効） |
| 効かない措置 | disable_system_api_commands を true（systemというAPIだけが無効になり、この経路は塞がらない） |
- 既定のディレクトリに、パスワードのないユーザー（勧告は conf/vanilla の default ユーザーを例に挙げる）があると、認証の障壁がなくなります。そのユーザーは、allow-empty-password を false にしない限り、認証を止められません。
- FreeSWITCHを組み込んだIP-PBXや通話基盤の製品は、提供元が別の版で修正を出すことがあります。提供元に確認してください。
自分が対象か確かめる方法
FreeSWITCHの版を確認する
稼働中のFreeSWITCHの版（fs_cliのversionコマンドなど）、またはパッケージ・コンテナーの版を確認します。1.11.2以前なら対象です。本番・検証・開発や、拠点ごとの交換機が複数あるなら、1台ずつ確認します（資産棚卸しチェックリスト）。
SIPの待ち受けが外に出ているかを確認する
Sofiaのプロファイル（internal・externalなど）の待ち受けに、インターネットなど信頼できない範囲から到達できるかを確認します。外線の接続先や在宅勤務者の端末のために開けている場合も含めます。
チャットの設定を確認する
各プロファイルのenable-chatとauth-messagesの設定を確認します。勧告によると、標準の internal と external ではインバウンドのチャットが有効です。チャットを実際に使っているプロファイルが、どれかも控えます。
今日やること
1.11.3以降へ更新する（最優先）
FreeSWITCHを1.11.3以降へ更新します。KEVの対応期限は11月12日です。製品に組み込まれている場合は、提供元の修正版を適用します。
チャットを使わないプロファイルでenable-chatをfalseにする
勧告が、この経路を完全に塞ぐ唯一の措置として挙げているのは、チャットが不要なすべてのプロファイルでenable-chatをfalseにすることです。更新できない間は、これを最優先の暫定策にします。更新後も、不要なプロファイルは無効のままにしておくのが堅実です。
認証を強め、到達できる範囲を絞る（緩和）
auth-messagesを有効にし、パスワードやa1-hashのないディレクトリのユーザーを削除します。当サイトの補足として、SIPの待ち受けに到達できる送信元を、外線の接続先と必要な端末に絞ります。これらは攻撃できる相手を減らすだけで、経路は塞ぎません。
すでに入られていないかを確認する
悪用が観測されているため、更新前の期間について、想定外のSIP MESSAGEの受信、想定外の発信や通話料金の急増、想定外のプロセスや設定ファイルの変更を確認します。KEVはフォレンジックの確認を求める区分にしています。進め方は 脆弱性対応の実務手順 にまとめています。
疑わしい場合は資格情報を入れ替える
勧告は設定と認証情報の漏えいが起き得ると説明しています。疑わしい痕跡があれば、SIPアカウントのパスワード、外線の接続先の認証情報、管理用の接続のパスワードを入れ替え、外線の事業者にも相談してください。
悪用状況
- 勧告とCVEの記録は、この経路の悪用が実環境で観測されたと明記しています。
- CISAは2026年11月9日にKEVへ追加し、対応期限を11月12日としました（KEVの版 2026.11.09）。
- KEVの記録上、ランサムウェアでの利用は「Unknown（不明）」で、フォレンジックの確認は「Yes」です。
- CVEの記録に、CISAの評価（悪用あり・自動化可能・影響は全面的）が追記されています。
- NVDの状態は Analyzed（分析済み）です。
- 攻撃の規模、攻撃者、被害の件数についての公開情報は、確認できませんでした。
当サイトの視点：緩和ではなく、受信自体を止める設定を優先する
「うちは認証しているから大丈夫」と判断するのは危険です。理由は2つあります。
1つ目に、勧告は認証が緩和にとどまると明記しており、認証済みのアカウントが1つ奪われるだけで同じ結果になります。2つ目に、チャットを使っていない交換機が多いはずで、その場合はenable-chatをfalseにしても業務に影響しません。実害がない設定変更で経路そのものを塞げるので、更新とあわせて、まずこれを実施してください（CVSS・EPSS・KEVで優先順位を決める）。
出典
- SignalWire FreeSWITCH — GHSA-mg63-h38w-8p9p：Inbound SIP MESSAGE can select the api chat proto and run FreeSWITCH API commands（2026年10月28日公開。対象・修正版・回避策・悪用の観測）
- CVE.org — CVE-2026-116779（2026年11月5日公開。1.11.3より前・CVSS 9.8・CISAの追記を含む）
- NVD — CVE-2026-116779（Analyzed。CWE-77・CWE-78・CWE-749）
- CISA KEV — Known Exploited Vulnerabilities Catalog（11月9日追加・期限11月12日）
最終確認：2026年11月10日。
次に読む
- 実務：脆弱性対応の実務手順 ／ 資産棚卸しチェックリスト
- 判断：CVSS・EPSS・KEVで優先順位を決める
- 用語：RCE（リモートコード実行）とは ／ CVSSとは