A CISA adicionou a CVE-2026-116779 ao catálogo de vulnerabilidades exploradas, e o projeto FreeSWITCH confirmou uma falha crítica que pode permitir a execução de comandos por meio de uma mensagem SIP. O problema afeta versões até 1.11.2 e foi corrigido na versão 1.11.3.
A vulnerabilidade recebeu CVSS 3.1 de 9,8, nível crítico. O advisory oficial informa que a exploração pode permitir comandos da API do FreeSWITCH, comandos arbitrários do sistema operacional, exposição de configurações e credenciais e controle de chamadas, usando os privilégios do processo que executa o serviço.
O que é a CVE-2026-116779
O problema está no tratamento de mensagens SIP MESSAGE recebidas pelo FreeSWITCH. A função responsável divide o usuário do campo To no sinal de adição e interpreta a parte inicial como um seletor de protocolo de chat.
O módulo mod_dptools registra uma interface de chat chamada api. Quando o seletor é usado, a mensagem pode alcançar switch_api_execute(), fazendo com que um peer escolha qual comando da API do FreeSWITCH será executado.
O cenário é especialmente grave porque a interface SIP pode expor comandos além do objetivo original de troca de mensagens. O advisory do projeto afirma que a execução ocorre com os privilégios do processo FreeSWITCH. Se o processo tiver privilégios excessivos, o impacto também aumenta.
Versões afetadas e correção
O projeto identifica como afetadas as versões 1.11.2 e anteriores. A versão corrigida é a 1.11.3.
A correção adiciona o parâmetro por perfil enable-chat-api-proto. O parâmetro fica desligado por padrão, impedindo que uma mensagem SIP selecione o protocolo de chat api sem uma habilitação explícita.
Administradores devem atualizar todos os nós FreeSWITCH, incluindo servidores de telefonia, gateways, ambientes de homologação, imagens de container e instalações que não aparecem no inventário principal. Confirmar somente a versão do pacote do sistema pode ser insuficiente quando a aplicação é executada a partir de imagem própria ou compilação interna.
Quem pode estar exposto
O advisory considera afetado qualquer perfil SIP que aceite mensagens de entrada. Esse comportamento faz parte da configuração padrão, salvo quando o perfil desabilita o chat com enable-chat=false. As configurações vanilla interna e externa mantêm o chat habilitado.
O ACL de entrada não elimina a exposição a mensagens SIP. Também é importante não assumir que a autenticação de mensagens, sozinha, fecha o caminho. O projeto informa que auth-messages pode reduzir o cenário quando combinada com a remoção de usuários sem senha ou hash, mas não corrige a rota de comando.
Em instalações com o arquivo padrão de diretório vanilla, usuários sem senha ou hash podem ampliar o risco. O projeto cita o usuário default e um exemplo Skinny como contas que precisam ser revisadas. A presença dessas contas deve ser tratada como um problema de configuração independente.
Impacto para ambientes de telefonia
Uma execução de comando com os privilégios do daemon pode expor arquivos de configuração, credenciais de SIP, chaves, dados de integração e informações operacionais. O atacante também pode interferir no controle de chamadas e na própria disponibilidade do serviço.
Quando o módulo Lua está carregado, o advisory informa que o Lua inline com a biblioteca padrão completa pode se tornar um segundo caminho de execução. Isso amplia a superfície de ataque e reforça a necessidade de atualizar, reduzir módulos desnecessários e limitar os privilégios do processo.
A inclusão no KEV confirma exploração ativa. A CISA não publicou, nas fontes consultadas, uma atribuição de campanha específica ou informação de que a falha esteja vinculada a ransomware. O artigo não faz essa afirmação.
Recomendações imediatas
Atualize para a versão 1.11.3 ou posterior. Faça a atualização conforme o método de instalação usado pela organização. Depois, confirme a versão real do binário em execução e reinicie o serviço de maneira controlada para que a correção esteja ativa.
Desabilite o chat de entrada quando ele não for necessário. Configure enable-chat=false em todos os perfis que não precisam receber mensagens SIP. Essa medida interrompe a rota antes da seleção do protocolo e é a mitigação indicada pelo projeto para perfis sem essa função.
Não trate medidas parciais como correção. Ativar auth-messages ou disable_system_api_commands=true pode reduzir parte do risco, mas não fecha todo o caminho. O primeiro ainda pode deixar execução de comandos autenticada; o segundo não remove outras interfaces da API, como carregamento de módulos e originação de chamadas.
Restrinja a superfície SIP. Limite os perfis que aceitam tráfego externo, revise ACLs, bloqueie origens desnecessárias e mantenha apenas os métodos de sinalização exigidos pelo ambiente. A restrição de rede ajuda, mas não substitui o patch.
Reduza os privilégios do serviço. Revise o usuário e o grupo do processo, permissões de arquivos, acesso a credenciais e capacidade de executar comandos do sistema. Evite rodar o serviço com privilégios administrativos quando isso não for indispensável.
Como investigar exploração
Revise os logs SIP e do FreeSWITCH em busca de mensagens MESSAGE incomuns, seletores de protocolo inesperados, comandos API fora do padrão, chamadas originadas sem justificativa e acessos vindos de origens desconhecidas.
Correlacione esses eventos com alterações em arquivos de configuração, módulos carregados, scripts Lua, usuários, chaves, tarefas agendadas, processos persistentes e credenciais. Analise também mudanças em regras de encaminhamento, destinos de chamadas e integrações com sistemas externos.
Se houver indício de execução de comandos, isole o servidor conforme o plano de resposta e preserve logs, containers, imagens e volumes antes de recriar a instalação. Faça a rotação das credenciais que possam ter sido lidas pelo processo e verifique outros servidores com a mesma imagem ou configuração.
Conclusão
A CVE-2026-116779 permite que uma mensagem SIP de entrada selecione a interface api e alcance comandos do FreeSWITCH. Em versões até 1.11.2, isso pode resultar em execução de comandos com os privilégios do daemon, exposição de credenciais e controle de chamadas.
A versão 1.11.3 corrige a falha e desabilita por padrão a seleção do protocolo api por mensagens SIP. Como a CISA confirmou exploração ativa, a prioridade é atualizar todos os nós, desligar o chat de entrada onde ele não for necessário e investigar logs antes e depois da aplicação da correção.
Fontes primárias
FreeSWITCH: Inbound SIP MESSAGE can select the api chat proto and run FreeSWITCH API commands.
CISA: CISA Adds Four Known Exploited Vulnerabilities to Catalog.
CVE.org: CVE-2026-116779 — FreeSWITCH API command execution via inbound SIP MESSAGE.