CISA zaradila chybu vo FreeSWITCH medzi aktívne zneužívané zraniteľnosti
CISA pridala zraniteľnosť CVE-2026-116779 vo FreeSWITCH do katalógu KEV. Prevádzkovatelia majú aktualizovať na verziu 1.11.3 alebo novšiu.
Americká agentúra CISA 9. novembra 2026 zaradila FreeSWITCH CVE-2026-116779 do katalógu Known Exploited Vulnerabilities (KEV). Zaradenie znamená, že zraniteľnosť v telekomunikačnom softvéri SignalWire FreeSWITCH je potvrdene zneužívaná vo voľnej prírode.
Ide o chybu typu code injection, ktorá sa týka spracovania prichádzajúcich správ SIP MESSAGE. Podľa bezpečnostného upozornenia projektu FreeSWITCH môže útočník prostredníctvom takejto správy vyvolať API príkazy FreeSWITCHu.
FreeSWITCH CVE-2026-116779: dotknuté verzie a dopad
Postihnuté sú verzie FreeSWITCH do 1.11.2 vrátane. Oprava je dostupná vo verzii 1.11.3 a novších vydaniach. Prevádzkovatelia PBX a VoIP systémov by preto mali aktualizáciu zaradiť medzi prioritné zásahy.
Úspešné zneužitie môže viesť k vykonávaniu príkazov s oprávneniami procesu FreeSWITCH. Výrobca medzi možnými následkami uvádza prezradenie konfigurácie a prihlasovacích údajov, ako aj ovládanie hovorov. Pri systémoch spracúvajúcich hlasovú komunikáciu môže mať takýto prístup priamy dosah na dôvernosť a dostupnosť telefonických služieb.
Dočasné zmiernenie nie je náhradou opravy
SignalWire odporúča na SIP profiloch, ktoré nepotrebujú prijímať SIP chat, nastaviť voľbu enable-chat=false. Toto opatrenie obmedzuje rizikovú cestu spracovania prichádzajúcich správ.
Výrobca zároveň upozorňuje, že nastavenia auth-messages ani disable_system_api_commands=true samy osebe zraniteľnosť úplne neodstraňujú. Prevádzkovatelia by ich preto nemali považovať za plnohodnotnú náhradu prechodu na opravenú verziu.
Čo zatiaľ nie je známe
CISA ani SignalWire nezverejnili rozsah zaznamenaného zneužívania, jeho ciele, pôvodcov ani konkrétne kampane. Nie je tiež potvrdené, koľko verejne dostupných inštancií FreeSWITCH zostáva zraniteľných.
Pri FreeSWITCH CVE-2026-116779 bude dôležité sledovať prípadné zverejnenie technických indikátorov kompromitácie a podrobností o útokoch. Relevantné bude aj sprístupňovanie aktualizovaných balíkov FreeSWITCH 1.11.3 v jednotlivých distribúciách a prostrediach prevádzkovateľov.
Zdroje
- CISA Known Exploited Vulnerabilities Catalog – Potvrdzuje zaradenie CVE-2026-116779 do KEV 9. novembra 2026 a zneužívanie vo voľnej prírode.
- SignalWire FreeSWITCH GitHub Security Advisory GHSA-mg63-h38w-8p9p – Opisuje technickú príčinu, dopad, dotknuté verzie, zaznamenané zneužívanie, zmiernenia a opravu.
- SignalWire FreeSWITCH v1.11.3 release – Potvrdzuje vydanie verzie 1.11.3 a pridanie parametra `enable-chat-api-proto` na blokovanie rizikovej cesty.
Overené a aktualizované: 10. 11. 2026 06:21
