SIP MESSAGE 처리를 통해 관리용 명령이 실행될 수 있는 FreeSWITCH(IP 전화 교환기와 컨택트 센터 통화 플랫폼에 쓰이는 오픈 소스 소프트웨어) 취약점의 해설입니다. IP 전화, 컨택트 센터, 통화 인프라를 운영하는 분을 위해, 영향과 대응을 방어하는 쪽의 관점에서 공격 절차 없이 설명합니다.
- CVE
- CVE-2026-116779 (GitHub 권고 GHSA-mg63-h38w-8p9p)
- 심각도
- CVSS v3.1 9.8 (Critical. 벡터 AV:N/AC:L/PR:N/UI:N. GitHub이 부여)
- 유형
- 명령 주입(CWE-77, CWE-78). 위험한 메서드의 노출(CWE-749)
- 전제 조건
- 권고: 프로필이 수락하는 SIP MESSAGE를 보낼 수 있을 것. CVE 레코드: 인증된 계정이면 충분함(일부 구성에서는 인증 장벽이 없음)
- 영향 대상
- SignalWire FreeSWITCH 1.11.2 이하
- 수정
- FreeSWITCH 1.11.3 이상 (새 설정은 기본적으로 꺼짐)
- 날짜
- 권고: 2026년 10월 28일 / CVE 레코드: 2026년 11월 5일
- 악용
- 권고가 실제 악용 관측을 밝힘. 11월 9일 CISA KEV 등재(기한 11월 12일)
방치가 위험한 이유
FreeSWITCH는 데몬으로 동작하며, 권고에 따르면 OS 명령은 그 권한으로 실행됩니다. 설정에는 SIP 계정, 트렁크, 관리 연결의 자격 증명이 들어 있는 경우가 많아 유출의 영향이 전화 플랫폼에 그치지 않습니다. 통화도 제어될 수 있으며, 본 사이트의 판단으로는 부정한 발신 통화에 따른 요금 청구로 이어질 수 있습니다.
이 취약점은 무엇인가
권고에 따르면 FreeSWITCH는 수신 SIP MESSAGE(텍스트 메시지)를 처리할 때 메시지의 수신처 지정 방식으로 채팅 유형을 선택했습니다. 그중 하나를 선택하면 FreeSWITCH의 관리용 API가 실행되어, OS 명령을 실행하는 것을 포함한 API 명령이 데몬의 권한으로 실행됩니다. 본 사이트는 메시지의 형태나 선택 방법을 설명하지 않습니다.
권고는 기본 internal 및 external 프로필에서 수신 채팅이 활성화되어 있다고 밝힙니다. 즉 특별한 설정을 하지 않아도 영향을 받을 수 있습니다.
이전(1.11.2 이하)
- 수락된 SIP MESSAGE가 관리용 API에 닿을 수 있음
- 기본 프로필에서 수신 채팅이 켜져 있음
- 인증된 계정만 있으면 실행할 수 있음
1.11.3 이상의 변경
- API 선택이 프로필별 설정(enable-chat-api-proto)이 됨
- 명시적으로 지정하지 않으면 그 설정은 꺼짐
- 채팅이 필요 없는 프로필은 enable-chat으로 수신을 멈출 수 있음
영향 범위
| 항목 | 상세 |
|---|---|
| 제품 | SignalWire FreeSWITCH |
| 영향받는 버전 | 1.11.2 이하 (CVE 레코드 표현: before 1.11.3) |
| 수정된 버전 | 1.11.3 이상 |
| 경로를 완전히 막는 조치 | 해당 프로필에서 enable-chat을 false로 설정 |
| 완화책에 그치는 것 | MESSAGE 인증(auth-messages, 1.10.7부터 기본 활성), 비밀번호가 없는 디렉터리 사용자 제거 |
| 경로를 막지 못하는 것 | disable_system_api_commands를 true로 설정(system API만 제거됨) |
- 비밀번호가 없는 디렉터리 사용자(권고는 conf/vanilla 디렉터리의 기본 사용자를 예로 듦)는 인증 장벽을 없앱니다. allow-empty-password를 false로 하지 않으면 그 사용자에게는 인증이 강제되지 않습니다.
- FreeSWITCH를 내장한 IP-PBX와 통화 플랫폼 제품은 자체 버전 번호로 수정을 제공할 수 있습니다. 제공업체에 문의하세요.
영향 여부 확인 방법
FreeSWITCH 버전 확인
실행 중인 버전(예: fs_cli의 version 명령)이나 패키지 또는 컨테이너의 버전을 확인하세요. 1.11.2 이하가 영향을 받습니다. 교환기가 여러 대(운영, 스테이징, 개발, 거점별)라면 각각 확인하세요(자산 목록 체크리스트).
SIP 리스너가 노출되어 있는지 확인
Sofia 프로필(internal, external 등)에 인터넷이나 신뢰할 수 없는 네트워크에서 닿을 수 있는지 확인하세요. 트렁크용으로 열어 둔 포트와 원격 근무자의 단말기용 포트도 포함하세요.
채팅 설정 확인
각 프로필의 enable-chat과 auth-messages를 확인하세요. 권고는 기본 internal 및 external 프로필에서 수신 채팅이 켜져 있다고 밝힙니다. 실제로 채팅을 쓰는 프로필이 어디인지도 기록해 두세요.
오늘 해야 할 일
1.11.3 이상으로 업데이트(최우선)
FreeSWITCH를 1.11.3 이상으로 업데이트하세요. KEV 기한은 11월 12일입니다. 제품에 내장되어 있다면 제공업체의 수정된 릴리스를 적용하세요.
채팅을 쓰지 않는 프로필에서 enable-chat을 false로
권고는 수신 SIP 채팅이 필요 없는 모든 프로필에서 enable-chat을 false로 하는 것을 경로를 완전히 막는 유일한 조치로 듭니다. 업데이트할 수 있을 때까지의 최우선 임시 조치로 삼고, 업데이트 후에도 쓰지 않는 프로필은 꺼 두세요.
인증 강화와 접근 대상 축소(완화책)
auth-messages를 활성화하고, 비밀번호나 a1-hash가 없는 디렉터리 사용자를 제거하세요. 본 사이트의 추가 의견으로, SIP 리스너에 닿을 수 있는 접속 주소를 트렁크와 필요한 단말기로 제한하세요. 이는 공격할 수 있는 사람을 줄일 뿐 경로를 막지는 않습니다.
이미 침해되었는지 확인
악용이 관측되었으므로, 업데이트 이전 기간에 대해 예상치 못한 수신 SIP MESSAGE, 예상치 못한 발신 통화나 통화 요금의 급증, 예상치 못한 프로세스와 설정 파일의 변경을 찾아보세요. KEV는 이 항목에 포렌식 선별을 표시했습니다. 절차는 취약점 대응 플레이북에서 다룹니다.
의심스러우면 자격 증명 교체
권고는 설정과 자격 증명이 노출될 수 있다고 밝힙니다. 수상한 징후가 있으면 SIP 계정 비밀번호, 트렁크 자격 증명, 관리 연결의 비밀번호를 교체하고 통신사와 상담하세요.
악용 상황
- 권고와 CVE 레코드 모두 이 경로의 악용이 실제로 관측되었다고 밝힙니다.
- CISA가 2026년 11월 9일 기한 11월 12일로 KEV에 추가했습니다(KEV 카탈로그 버전 2026.11.09).
- KEV는 랜섬웨어 사용 여부를 Unknown, 포렌식 선별을 Yes로 기록하고 있습니다.
- CISA의 평가(악용 활발, 자동화 가능, 기술적 영향 전체)가 CVE 레코드에 추가되었습니다.
- NVD의 상태는 Analyzed입니다.
- 규모, 공격 주체, 피해자 수에 관한 공개 정보는 확인할 수 없었습니다.
본 사이트의 견해: 완화책보다 수신 자체를 멈추는 설정을 우선한다
"인증을 요구하니 괜찮다"는 판단은 두 가지 이유로 위험합니다.
첫째, 권고가 인증은 완화책일 뿐이라고 밝히며, 인증된 계정 하나가 도난당하면 결과는 같습니다. 둘째, 채팅을 전혀 쓰지 않는 교환기가 많고, 그런 곳에서는 enable-chat을 false로 해도 운영상 잃는 것이 없습니다. 업무에 영향이 없고 경로 자체를 막는 변경을 업데이트와 함께 먼저 하세요(CVSS, EPSS, KEV로 우선순위 정하기).
출처
- SignalWire FreeSWITCH — GHSA-mg63-h38w-8p9p: Inbound SIP MESSAGE can select the api chat proto and run FreeSWITCH API commands (2026년 10월 28일 공개. 영향받는 버전과 수정 버전, 완화책, 악용 관측)
- CVE.org — CVE-2026-116779 (2026년 11월 5일 공개. 1.11.3 미만. CVSS 9.8. CISA의 추가 정보 포함)
- NVD — CVE-2026-116779 (Analyzed. CWE-77, CWE-78, CWE-749)
- CISA KEV — Known Exploited Vulnerabilities Catalog (11월 9일 추가, 기한 11월 12일)
최종 확인: 2026년 11월 10일.
이어서 읽기
- 실천: 취약점 대응 플레이북 / 자산 목록 체크리스트
- 판단: CVSS, EPSS, KEV로 우선순위 정하기
- 용어: RCE(원격 코드 실행)란? / CVSS란?