Разбор уязвимости во FreeSWITCH (программное обеспечение с открытым исходным кодом, которое используется в коммутаторах IP-телефонии и платформах вызовов контакт-центров), позволяющей выполнять административные команды через обработку SIP MESSAGE. Написано для тех, кто эксплуатирует IP-телефонию, контакт-центры и инфраструктуру вызовов; о последствиях и реагировании — со стороны защиты, без шагов атаки.
- CVE
- CVE-2026-116779 (бюллетень GitHub GHSA-mg63-h38w-8p9p)
- Тяжесть
- CVSS v3.1 9.8 (Critical; вектор AV:N/AC:L/PR:N/UI:N; присвоена GitHub)
- Тип
- Внедрение команд (CWE-77, CWE-78); раскрытый опасный метод (CWE-749)
- Условия
- Бюллетень: возможность отправить SIP MESSAGE, который принимает профиль. Запись CVE: достаточно любой аутентифицированной учётной записи (в некоторых конфигурациях барьера аутентификации нет)
- Затронуто
- SignalWire FreeSWITCH 1.11.2 и ранее
- Исправление
- FreeSWITCH 1.11.3 и новее (новая настройка по умолчанию выключена)
- Даты
- Бюллетень: 28 октября 2026 года / запись CVE: 5 ноября 2026 года
- Эксплуатация
- Бюллетень сообщает, что она наблюдалась. Добавлена в CISA KEV 9 ноября (срок — 12 ноября)
Чем опасно ожидание
FreeSWITCH работает как демон, и, согласно бюллетеню, команды ОС выполняются с его правами. В конфигурации часто хранятся учётные данные учётных записей SIP, транков и подключений управления, поэтому утечка выходит за пределы телефонной платформы. Вызовами также можно управлять; по оценке этого сайта, это может привести к начислениям за мошеннические исходящие вызовы.
В чём заключается уязвимость
Согласно бюллетеню, FreeSWITCH при обработке входящего SIP MESSAGE (текстового сообщения) выбирал тип чата по тому, как адресовано сообщение. Выбор одного из этих типов запускал административный API FreeSWITCH, поэтому команды API, в том числе запускающие команды ОС, выполнялись с правами демона. Этот сайт не описывает вид сообщения и способ выбора.
Бюллетень сообщает, что входящий чат включён в стандартных профилях internal и external. Иначе говоря, вы можете оказаться затронуты без какой-либо особой настройки.
До (1.11.2 и ранее)
- Принятое SIP MESSAGE может добраться до административного API
- Входящий чат включён в стандартных профилях
- Для запуска достаточно аутентифицированной учётной записи
Изменения в 1.11.3 и новее
- Выбор API становится настройкой профиля (enable-chat-api-proto)
- Эта настройка выключена, пока не задана явно
- Профили, которым чат не нужен, могут перестать его принимать с помощью enable-chat
Кого это касается
| Пункт | Подробности |
|---|---|
| Продукт | SignalWire FreeSWITCH |
| Затронутые версии | 1.11.2 и ранее (формулировка записи CVE: до 1.11.3) |
| Исправленная версия | 1.11.3 и новее |
| Полностью закрывает путь | enable-chat в false в соответствующем профиле |
| Только смягчение | Аутентификация MESSAGE (auth-messages, включена по умолчанию с 1.10.7); удаление пользователей каталога без пароля |
| Не закрывает путь | disable_system_api_commands в true (убирает только системный API) |
- Пользователь каталога без пароля (бюллетень приводит в пример пользователя по умолчанию из каталога conf/vanilla) снимает барьер аутентификации. Для такого пользователя аутентификация не применяется, пока allow-empty-password не установлен в false.
- Продукты IP-АТС и платформы вызовов со встроенным FreeSWITCH могут выпускать исправление под собственными номерами версий. Спросите у поставщика.
Как проверить, затронуты ли вы
Проверьте версию FreeSWITCH
Проверьте версию работающей системы (например, командой version в fs_cli) или версию пакета либо контейнера. Версии 1.11.2 и ранее затронуты. Если у вас несколько коммутаторов (рабочие, тестовые, разработческие, по одному на площадку), проверьте каждый (чек-лист инвентаризации активов).
Проверьте, доступны ли слушатели SIP снаружи
Проверьте, можно ли добраться до профилей Sofia (internal, external и других) из интернета или любой другой недоверенной сети. Включите порты, открытые для транков и оконечных устройств удалённых сотрудников.
Проверьте настройки чата
Посмотрите enable-chat и auth-messages в каждом профиле. Бюллетень сообщает, что входящий чат включён в стандартных профилях internal и external. Также отметьте, какие профили чат действительно используют.
Что сделать сегодня
Обновитесь до 1.11.3 или новее (главный приоритет)
Обновите FreeSWITCH до 1.11.3 или новее. Срок по KEV — 12 ноября. Если он встроен в продукт, установите исправленный выпуск вашего поставщика.
Установите enable-chat в false в профилях, где чат не используется
Бюллетень называет установку enable-chat в false в каждом профиле, где не нужен входящий SIP-чат, единственной мерой, полностью закрывающей путь. Сделайте это главной временной мерой, пока не сможете обновиться, и после обновления держите неиспользуемые профили отключёнными.
Усильте аутентификацию и сузьте доступ (смягчение)
Включите auth-messages и удалите пользователей каталога без пароля или a1-hash. От себя этот сайт советует: ограничьте адреса, с которых можно добраться до слушателей SIP, вашими транками и теми оконечными устройствами, которым это нужно. Эти меры лишь сокращают число тех, кто может атаковать, и путь не закрывают.
Проверьте, не были ли вы уже скомпрометированы
Поскольку эксплуатация наблюдалась, за период до обновления поищите неожиданные входящие SIP MESSAGE, неожиданные исходящие вызовы или всплеск начислений за вызовы, а также неожиданные процессы и изменения файлов конфигурации. KEV помечает эту запись как требующую судебно-технического разбора. Порядок действий описан в плейбуке устранения уязвимостей.
Смените учётные данные при сомнениях
Бюллетень сообщает, что конфигурация и учётные данные могут быть раскрыты. Если вы обнаружили подозрительные признаки, смените пароли учётных записей SIP, учётные данные транков и пароли подключений управления и обсудите это с оператором связи.
Состояние эксплуатации
- И бюллетень, и запись CVE сообщают, что эксплуатация этого пути наблюдалась.
- CISA добавила её в KEV 9 ноября 2026 года со сроком 12 ноября (версия каталога KEV 2026.11.09).
- KEV отмечает использование в атаках с программами-вымогателями как Unknown, а необходимость судебно-технического разбора — как Yes.
- Оценка CISA (эксплуатация активна, автоматизируемо, полное техническое воздействие) добавлена в запись CVE.
- Статус NVD — Analyzed.
- Публичные сведения о масштабе, действующих лицах и числе жертв подтвердить не удалось.
Мнение этого сайта: меру, прекращающую приём, ставьте выше смягчающих мер
Рассуждение «мы требуем аутентификацию, так что всё в порядке» рискованно по двум причинам.
Во-первых, бюллетень прямо говорит, что аутентификация — лишь смягчающая мера, а одна украденная аутентифицированная учётная запись даёт тот же результат. Во-вторых, многие коммутаторы чат вообще не используют, и для них установка enable-chat в false ничего не стоит в эксплуатации. Изменение, которое не влияет на бизнес и закрывает сам путь, нужно делать первым, вместе с обновлением (приоритизация по CVSS, EPSS и KEV).
Источники
- SignalWire FreeSWITCH — GHSA-mg63-h38w-8p9p: Inbound SIP MESSAGE can select the api chat proto and run FreeSWITCH API commands (опубликовано 28 октября 2026 года; затронутые и исправленные версии, смягчающие меры, наблюдавшаяся эксплуатация)
- CVE.org — CVE-2026-116779 (опубликовано 5 ноября 2026 года; до 1.11.3; CVSS 9.8; включает добавление CISA)
- NVD — CVE-2026-116779 (Analyzed; CWE-77, CWE-78, CWE-749)
- CISA KEV — Known Exploited Vulnerabilities Catalog (добавлена 9 ноября, срок 12 ноября)
Последняя проверка: 10 ноября 2026 года.