危急CVSS9.82026-11-10
CVE-2026-116779 — FreeSWITCH 的 SIP MESSAGE 處理讓攻擊者執行 API 命令和作業系統命令：解析與對策（已在 1.11.3 修復，已被利用，已列入 KEV）
SignalWire FreeSWITCH 1.11.2 及更早版本的漏洞（CVSS 9.8）。據公告，對入站 SIP MESSAGE（聊天）的處理可被用來執行 FreeSWITCH API 命令，進而導致配置和憑證外洩、通話被控制以及作業系統命令被執行。公告稱已觀察到在野利用，CISA 於11月9日把它列入 KEV（期限11月12日）。已在 1.11.3 修復。唯一能完全堵住這條路徑的措施，是在相關 profile 上把 enable-chat 設為 false。本站的觀點：不要止步於更新；不使用聊天的地方請將其禁用，並檢查是否已被入侵、輪換憑證。