コマンドインジェクション

CVE-2026-116779 — FreeSWITCHがSIP MESSAGE経由で管理コマンドを実行される脆弱性の解説と対応策（1.11.3で修正・悪用確認済み・KEV掲載）

SignalWire FreeSWITCH 1.11.2以前の脆弱性（CVSS 9.8）。勧告によると、インバウンドのSIP MESSAGE（チャット）の処理から、FreeSWITCHのAPIコマンドを実行でき、設定・認証情報の漏えい、通話の制御、OSコマンドの実行に至る。勧告に「実環境で悪用を観測」と明記され、CISAのKEVに11月9日追加（期限11月12日）。修正版は1.11.3で、完全に遮断する設定は該当プロファイルでenable-chatをfalseにすることだけ。当サイトの結論：更新だけでなく、チャットを使わないプロファイルは無効化し、侵害の確認と資格情報の入れ替えまで行う。