FreeSWITCH-Schwachstelle bei eingehenden SIP-MESSAGE-Nachrichten ermöglicht Remotecodeausführung über die Chat-API (CVE-2026-116779)

Was passiert ist

FreeSWITCH vor Version 1.11.3 verarbeitet den Benutzer im To-Header einer eingehenden SIP-MESSAGE fehlerhaft. Die Verarbeitung zerlegt diesen Wert am Pluszeichen und behandelt den linken Teil als Auswahl für das Chat-Protokoll. Lautet die Auswahl api, erreicht die Nachricht switch_api_execute(). Ein Peer, dessen MESSAGE angenommen wird, kann dadurch FreeSWITCH-API-Befehle ausführen, einschließlich Funktionen zur Ausführung von Betriebssystembefehlen, und zwar mit den Rechten des Daemons.

Der anfällige Pfad ist über das Netzwerk erreichbar. Eingehender Chat ist in den Standardprofilen internal und external aktiviert, und jedes authentifizierte Profilkonto genügt. In betroffenen Konfigurationen können Standardverzeichnisnutzer ohne Passwortmaterial diese Hürde ebenfalls unwirksam machen. Die Folge sind die Offenlegung von Konfigurations- und Zugangsdaten, beliebige Steuerung von Anrufen und die Ausführung von Befehlen.

Die Ausnutzung ist aktiv. CISA hat CVE-2026-116779 in den Katalog „Known Exploited Vulnerabilities“ aufgenommen, die SSVC-Bewertung von CISA stuft die Ausnutzung als aktiv ein, und der EUVD von ENISA verzeichnet Ausnutzung seit 9. November 2026.

Wer betroffen ist

Betroffen sind FreeSWITCH-Installationen vor Version 1.11.3. Das schließt die Standardprofile internal und external ein, in denen eingehender Chat aktiviert ist. FreeSWITCH ist ein softwaredefinierter Telekommunikations-Stack und terminiert häufig SIP-Verkehr aus dem Internet oder von Carrier-Peers; betroffene Organisationen sollten jedes Profil prüfen, das SIP-MESSAGE-Anfragen annimmt.

Was jetzt zu tun ist

1. Aktualisieren Sie auf FreeSWITCH 1.11.3. Die Maintainer haben CVE-2026-116779 in dieser Version behoben.
2. Wenn Sie nicht sofort aktualisieren können, beschränken Sie den Netzzugang zu den SIP-Profilen auf vertrauenswürdige Peers und prüfen Sie, ob eingehender Chat in den Profilen internal und external erforderlich ist.
3. Behandeln Sie jede betroffene FreeSWITCH-Instanz, die aus nicht vertrauenswürdigen Netzen erreichbar war, als potenziell kompromittiert, bis Sie die Protokolle auf unerwartete API- oder Betriebssystembefehle geprüft haben.
4. Folgen Sie der von CISA für die KEV-Liste geforderten Maßnahme: Wenden Sie Schutzmaßnahmen gemäß den Anweisungen des Herstellers an und befolgen Sie die einschlägigen Vorgaben aus BOD 26-04. Die CISA-Frist endet am 12. November 2026.

Wie man es erkennt

Prüfen Sie die SIP-Nachrichtenprotokolle auf eingehende MESSAGE-Anfragen, bei denen der Benutzer im To-Header ein Pluszeichen enthält und die linke Seite das Chat-Protokoll api auswählt. Achten Sie auf unerwartete Ausführungen von FreeSWITCH-API-Befehlen, insbesondere auf Befehle, die Betriebssystemprozesse starten. Da die Ausnutzung aktiv erfolgt, behandeln Sie derartige Aktivitäten auf Versionen vor 1.11.3 als verdächtig.

Über den Patch hinaus

FreeSWITCH-Instanzen sind oft absichtlich aus dem Internet erreichbar, und diese Schwachstelle macht aus einer akzeptierten SIP-Nachricht eine Befehlsausführung ohne einen wirksamen Authentifizierungsschritt. Damit ist sie mehr als ein reiner Patch-Fall: Sie ist ein Anlass, sicherzustellen, dass die Telefonie-Infrastruktur für das Sicherheitsmonitoring sichtbar ist. Managed Detection and Response (MDR) kann die Befehlsausführung und Seitwärtsbewegungen nach dem Erstzugriff überwachen. Virtual CISO Services (vCISO) können helfen, neu zu bewerten, wie SIP und andere exponierte Dienste in Ihrem Exposure-Management-Programm verwaltet werden.