FreeSWITCH SIP MESSAGE 程式碼執行漏洞已遭利用

CVE-2026-116779

主要來源公告：2026-10-28

本站刊登：2026-10-29 · 內容更新：2026-10-29（香港日期）

情報摘要

SignalWire 公告 CVE-2026-116779 已在野外遭利用：受影響 FreeSWITCH 接受的 SIP MESSAGE 可觸達 API 命令介面，以服務程序權限執行程式碼。1.11.2 及以前版本須升級至 1.11.3 或之後版本。

SignalWire 於 10 月 28 日發布公告，確認已有野外利用。漏洞令獲接受的入站 SIP MESSAGE 可到達 API 命令處理介面，影響包括服務程序權限下的程式碼執行、設定或憑證洩露及通話控制。

攻擊前提是訊息獲相關 SIP profile 接受。若部署強制 MESSAGE 驗證，攻擊者需要符合驗證要求；部分預設目錄帳戶的空密碼情況可能造成未驗證暴露，因此不能把所有部署的驗證條件一概而論。

修復版本新增 enable-chat-api-proto 開關並預設停用。應連同 SIP profile 的聊天用途、帳戶與存取設定一併檢視，不能只依賴單一外圍限制。

FreeSWITCH 1.11.2 及以前版本；修復版本為 1.11.3 或之後版本

維運 FreeSWITCH、VoIP 及 SIP 通訊平台的團隊

升級至 FreeSWITCH 1.11.3 或之後版本，並保持新設的 enable-chat-api-proto 關閉，除非經審慎評估確有需要。不使用入站 SIP 聊天的部署可停用 enable-chat。僅收緊入站 ACL、要求驗證或停用 system API 都不應當作完整修復。

採用 SignalWire 官方 GitHub 安全公告的 Critical 評級，CVSS 3.1 為 9.8；實際是否可未經驗證到達漏洞仍取決於 SIP MESSAGE 的接受與驗證設定。

已遭利用的說法來自供應商公告；沒有在本篇核實首次利用日期、受害數量或香港個案。

執行權限是 FreeSWITCH 程序權限，不應直接等同所有主機均被取得最高權限。