CríticoCVSS9.82026-11-10
CVE-2026-116779 — o tratamento de SIP MESSAGE no FreeSWITCH permite executar comandos de API e do sistema operacional: explicação e correção (corrigido na 1.11.3, explorado, no KEV)
Falha no SignalWire FreeSWITCH 1.11.2 e anteriores (CVSS 9,8). Segundo o aviso, o tratamento de SIP MESSAGE (chat) recebido pode ser usado para executar comandos da API do FreeSWITCH, com divulgação de configuração e credenciais, controle de chamadas e execução de comandos do sistema operacional. O aviso afirma que a exploração foi observada, e a CISA o incluiu no KEV em 9 de novembro (prazo: 12 de novembro). Corrigido na 1.11.3. A única medida que fecha totalmente o caminho é definir enable-chat como false nos perfis pertinentes. A visão deste site: não pare na atualização; desative o chat onde não for usado, verifique se houve comprometimento e troque as credenciais.