Veille menaces / Faille
FreeSWITCH : un message SIP piégé exécute des commandes d'API sur des serveurs de téléphonie, exploité dans la nature
FreeSWITCH, le serveur de téléphonie open source maintenu par SignalWire, laissait un SIP MESSAGE entrant contenant un signe plus dans le nom d'utilisateur du destinataire atteindre son module de discussion api, qui exécute des commandes de l'API FreeSWITCH. Cela fonctionne sur la configuration par défaut dès que l'attaquant dispose d'un compte enregistré, ou avec l'utilisateur default sans mot de passe de la configuration fournie. Le projet l'a corrigé dans la 1.11.3 le 28 octobre 2026 et indique que l'exploitation a été observée dans la nature. La CISA l'a ajoutée à sa liste des failles exploitées le 9 novembre 2026, selon The Hacker News.
- Secteur
- Tous secteurs
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- FreeSWITCH, SignalWire
- Comment c'est arrivé
- Une faille dans le traitement des SIP MESSAGE (CVE-2026-116779, CVSS 9,8) : dans FreeSWITCH 1.11.2 et versions antérieures, un message dont l'utilisateur destinataire contient un « + » peut choisir le protocole de discussion api et exécuter des commandes de l'API FreeSWITCH. Il faut un profil qui accepte MESSAGE (le cas par défaut) et soit un compte enregistré, soit l'utilisateur default sans mot de passe fourni dans conf/vanilla.[1] Vérifié le 11 nov. 2026
- Ce qui a été volé
- Pas encore public Vérifié le 11 nov. 2026
- Qui est touché
- Les organisations qui utilisent FreeSWITCH 1.11.2 ou une version antérieure, avec la messagerie activée sur un profil qui accepte les SIP MESSAGE. Le projet indique avoir observé une exploitation, sans donner de nombre de victimes.[1] Vérifié le 11 nov. 2026
- Acteur
- Non attribué
- CVE
- CVE-2026-116779
Chronologie
- SignalWire publie l'avis GHSA-mg63-h38w-8p9p et corrige la faille dans FreeSWITCH 1.11.3, attribuée à Örn Arnarson et Gunnlaugur. Il indique que « l'exploitation de ce chemin a été observée dans la nature » et conseille de régler enable-chat=false sur les profils qui n'ont pas besoin de la messagerie. [1]
- La CISA ajoute CVE-2026-116779 à son catalogue des vulnérabilités exploitées, selon The Hacker News ; aucun attaquant n'est nommé. [2]