Uma explicação de uma vulnerabilidade no FreeSWITCH (software de código aberto usado em centrais de telefonia IP e plataformas de chamadas de centrais de atendimento) que permite que o tratamento de SIP MESSAGE execute comandos administrativos. Foi escrita para quem opera telefonia IP, centrais de atendimento e infraestrutura de chamadas, e cobre o impacto e a resposta do lado da defesa e sem passos de ataque.
- CVE
- CVE-2026-116779 (aviso do GitHub GHSA-mg63-h38w-8p9p)
- Gravidade
- CVSS v3.1 9,8 (crítica; vetor AV:N/AC:L/PR:N/UI:N; atribuída pelo GitHub)
- Tipo
- Injeção de comandos (CWE-77, CWE-78); método perigoso exposto (CWE-749)
- Condições prévias
- Aviso: poder enviar um SIP MESSAGE que o perfil aceite. Registro CVE: qualquer conta autenticada é suficiente (algumas configurações removem a barreira de autenticação)
- Afetado
- SignalWire FreeSWITCH 1.11.2 e anteriores
- Correção
- FreeSWITCH 1.11.3 ou posterior (a nova configuração vem desligada por padrão)
- Datas
- Aviso: 28 de outubro de 2026 / registro CVE: 5 de novembro de 2026
- Exploração
- O aviso afirma que foi observada em uso real. Incluído no CISA KEV em 9 de novembro (prazo: 12 de novembro)
O risco de esperar
O FreeSWITCH roda como um daemon e, segundo o aviso, os comandos do sistema operacional são executados com os privilégios dele. A configuração costuma conter credenciais de contas SIP, de troncos e de conexões de gerenciamento, então um vazamento vai além da plataforma de telefonia. As chamadas também podem ser controladas; na avaliação deste site, isso poderia levar a cobranças por chamadas de saída fraudulentas.
O que é a vulnerabilidade
Segundo o aviso, o tratamento do FreeSWITCH para SIP MESSAGE (mensagens de texto) recebidos escolhia um tipo de chat a partir de como a mensagem era endereçada. Escolher um desses tipos executava a API administrativa do FreeSWITCH, de modo que os comandos da API, inclusive os que executam comandos do sistema operacional, rodam com os privilégios do daemon. Este site não descreve o formato da mensagem nem como a escolha é feita.
O aviso diz que o chat recebido vem ativado nos perfis internal e external de fábrica. Ou seja, você pode ser afetado sem nenhuma configuração especial.
Antes (1.11.2 e anteriores)
- Um SIP MESSAGE aceito pode chegar à API administrativa
- O chat recebido está ligado nos perfis de fábrica
- Ter uma conta autenticada basta para executá-lo
Mudanças na 1.11.3 e posteriores
- Escolher a API passa a ser uma configuração por perfil (enable-chat-api-proto)
- Essa configuração fica desligada a menos que seja definida explicitamente
- Perfis que não precisam de chat podem deixar de recebê-lo com enable-chat
Quem é afetado
| Item | Detalhe |
|---|---|
| Produto | SignalWire FreeSWITCH |
| Versões afetadas | 1.11.2 e anteriores (redação do registro CVE: anteriores à 1.11.3) |
| Versão corrigida | 1.11.3 ou posterior |
| Fecha totalmente o caminho | enable-chat como false no perfil pertinente |
| Somente mitigação | Autenticação de MESSAGE (auth-messages, ativada por padrão desde a 1.10.7); remover usuários do diretório sem senha |
| Não o fecha | disable_system_api_commands como true (remove somente a API system) |
- Um usuário do diretório sem senha (o aviso cita como exemplo o usuário padrão do diretório conf/vanilla) remove a barreira de autenticação. A autenticação não é exigida desse usuário a menos que allow-empty-password seja definido como false.
- Produtos de IP-PBX e de plataformas de chamadas que embutem o FreeSWITCH podem entregar a correção com numeração de versões própria. Pergunte ao seu fornecedor.
Como verificar se você é afetado
Verifique a versão do seu FreeSWITCH
Verifique a versão em execução (por exemplo com o comando version do fs_cli) ou a versão do pacote ou do contêiner. A 1.11.2 ou anterior é afetada. Se você tem várias centrais (produção, homologação, desenvolvimento, uma por unidade), verifique cada uma (checklist de inventário de ativos).
Verifique se os listeners SIP estão expostos
Verifique se os perfis do Sofia (internal, external e outros) podem ser acessados da internet ou de qualquer outra rede não confiável. Inclua as portas abertas para troncos e os terminais de quem trabalha remotamente.
Verifique as configurações de chat
Veja enable-chat e auth-messages em cada perfil. O aviso diz que o chat recebido vem ativado nos perfis internal e external de fábrica. Anote também quais perfis realmente usam chat.
O que fazer hoje
Atualize para a 1.11.3 ou posterior (prioridade máxima)
Atualize o FreeSWITCH para a 1.11.3 ou posterior. O prazo do KEV é 12 de novembro. Se ele vem embutido em um produto, aplique a versão corrigida do seu fornecedor.
Defina enable-chat como false nos perfis que não usam chat
O aviso lista enable-chat como false em todos os perfis que não precisam de chat SIP recebido como a única medida que fecha totalmente o caminho. Faça disso a principal medida provisória até poder atualizar, e mantenha desativados depois os perfis sem uso.
Reforce a autenticação e limite o acesso (mitigação)
Ative auth-messages e remova os usuários do diretório sem senha ou a1-hash. Como acréscimo próprio deste site, limite os endereços de origem que podem chegar aos listeners SIP aos seus troncos e aos terminais que precisam deles. Isso apenas reduz quem pode atacar; não fecha o caminho.
Verifique se você já foi comprometido
Como a exploração foi observada, para o período anterior à atualização procure SIP MESSAGE recebidos inesperados, chamadas de saída inesperadas ou aumento nas cobranças de chamadas, e processos inesperados ou alterações nos arquivos de configuração. O KEV marca esta entrada para triagem forense. O guia de correção de vulnerabilidades cobre o processo.
Troque as credenciais em caso de dúvida
O aviso diz que configuração e credenciais podem ser divulgadas. Se encontrar sinais suspeitos, troque as senhas das contas SIP, as credenciais de troncos e as senhas das conexões de gerenciamento, e fale com a sua operadora.
Situação da exploração
- O aviso e o registro CVE afirmam ambos que a exploração desse caminho foi observada.
- A CISA o incluiu no KEV em 9 de novembro de 2026 com prazo em 12 de novembro (versão 2026.11.09 do catálogo KEV).
- O KEV registra o uso em ransomware como Desconhecido e a triagem forense como Sim.
- A avaliação da CISA (exploração ativa, automatizável, impacto técnico total) foi adicionada ao registro CVE.
- O status no NVD é Analyzed.
- Não foi possível confirmar informações públicas sobre escala, atores ou número de vítimas.
A visão deste site: prefira a configuração que impede o recebimento às mitigações
Raciocinar «exigimos autenticação, então estamos bem» é arriscado, por dois motivos.
Primeiro, o aviso afirma que a autenticação é apenas uma mitigação, e uma única conta autenticada roubada dá o mesmo resultado. Segundo, muitas centrais não usam chat de forma alguma, e para elas definir enable-chat como false não custa nada na operação. Uma mudança sem impacto no negócio que fecha o próprio caminho deve vir primeiro, junto com a atualização (priorizar com CVSS, EPSS e KEV).
Fontes
- SignalWire FreeSWITCH — GHSA-mg63-h38w-8p9p: Inbound SIP MESSAGE can select the api chat proto and run FreeSWITCH API commands (publicado em 28 de outubro de 2026; versões afetadas e corrigidas, mitigações, exploração observada)
- CVE.org — CVE-2026-116779 (publicado em 5 de novembro de 2026; anteriores à 1.11.3; CVSS 9,8; inclui a inclusão pela CISA)
- NVD — CVE-2026-116779 (Analyzed; CWE-77, CWE-78, CWE-749)
- CISA KEV — Known Exploited Vulnerabilities Catalog (incluído em 9 de novembro, prazo em 12 de novembro)
Última verificação: 10 de novembro de 2026.