• ひとことでFreeSWITCH で、外から届くメッセージにより命令を実行されてしまう弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることFreeSWITCH を 1.11.3 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2026-116779
製品SignalWire FreeSwitch
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2026-11-09
米国政府機関の対応期限2026-11-12
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-77（コマンドインジェクション）
CWE-78（OSコマンドインジェクション）
CWE-749（危険なメソッドや関数の公開）

何が起きた

電話やビデオ通話のしくみをソフトウェアで作るための FreeSWITCH に、外から送ったメッセージで命令を動かせてしまう弱点が見つかり、アメリカの CISA が実際に悪用されていることを確認しています。FreeSWITCH によると、受け付けられた SIP の MESSAGE（通話の通信で使うメッセージ）の宛先の書き方を工夫すると、FreeSWITCH の API の命令を、FreeSWITCH と同じ権限で実行できてしまいます。これにより、設定や認証情報の流出、通話の乗っ取り、OS の命令の実行が起こるおそれがあります。FreeSWITCH も、この方法による悪用が実際に確認されているとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が SIP の MESSAGE を送る → 2. 宛先の書き方で API の窓口を選ぶ → 3. FreeSWITCH の API の命令が動く → 4. OS の命令の実行や情報の流出が起きる1攻撃者が SIP の MESSAGE を送る2宛先の書き方で API の窓口を選ぶ3FreeSWITCH の API の命令が動く4OS の命令の実行や情報の流出が起きる攻撃の流れ: 1. 攻撃者が SIP の MESSAGE を送る → 2. 宛先の書き方で API の窓口を選ぶ → 3. FreeSWITCH の API の命令が動く → 4. OS の命令の実行や情報の流出が起きる1攻撃者が SIP の MESSAGE を送る2宛先の書き方で API の窓口を選ぶ3FreeSWITCH の API の命令が動く4OS の命令の実行や情報の流出が起きる攻撃の流れ: 1. 攻撃者が SIP の MESSAGE を送る → 2. 宛先の書き方で API の窓口を選ぶ → 3. FreeSWITCH の API の命令が動く → 4. OS の命令の実行や情報の流出が起きる1攻撃者が SIP の MESSAGE を送る2宛先の書き方で API の窓口を選ぶ3FreeSWITCH の API の命令が動く4OS の命令の実行や情報の流出が起きる

誰が影響を受ける

FreeSWITCH を使っている組織が対象です。FreeSWITCH によると、影響を受けるのは 1.11.2 までの版です。初めの設定では、internal と external の両方のプロファイルで、チャットの受け付けが有効になっています。

何をすればいい

FreeSWITCH の公式の案内を確認し、1.11.3 以降に更新してください。FreeSWITCH によると、SIP のチャットを受け付ける必要のないプロファイルでは、enable-chat=false にすれば、この経路を止められます。MESSAGE の認証を有効にするだけでは足りず、system の命令を止める設定（disable_system_api_commands=true）でも、ほかの命令には届くので塞げないとしています。CISA はアメリカの連邦政府機関に、侵入の跡を調べる手順（Forensics Triage Requirements）にも沿うよう求めています。

やることチェックリスト

  • FreeSWITCH を 1.11.3 以降に更新する
  • チャットが不要なプロファイルは enable-chat=false にする
  • 認証や system の命令の停止だけで安心しない

用語メモ

SIP
インターネットを使った電話などで、通話を始めたり終えたりするために使う通信の決まりです。
API 用語集で見る
ソフトウェアに外から命令や問い合わせを送るための窓口です。
プロファイル
ここでは、FreeSWITCH の SIP の受け付けごとの設定のまとまりのことです。
Forensics Triage Requirements
CISA がアメリカの連邦政府機関向けに示している、侵入された跡がないかを調べるための要件です。

次に読む

基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

SignalWire FreeSwitch Code Injection Vulnerability

概要

SignalWire FreeSwitch contains a code injection vulnerability that permits configuration and credential disclosure, arbitrary call control, and command execution.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この元データの出どころ: CISA KEV カタログで見る