رصد Top-Secured السيبراني: تحليل مستقل يستند إلى المصادر المذكورة أدناه. Top-Secured غير تابعة للشركات المذكورة ولن تطلب منك أبدًا بياناتك المصرفية أو كلمات مرورك.
تسمح ثغرة في FreeSWITCH، خادم الاتصالات الهاتفية مفتوح المصدر، لطلب SIP MESSAGE بتنفيذ أوامر على الجهاز، وذلك في الإعدادات الافتراضية. ويفيد القائمون على المشروع برصد استغلالها، وقد أدرجت CISA الثغرة CVE-2026-116779 في فهرس الثغرات المستغلة في 9 نوفمبر 2026؛ ويصححها الإصدار 1.11.3.
ما الذي حدث
نشر القائمون على FreeSWITCH في 28 أكتوبر 2026 نشرة أمنية بشأن الثغرة CVE-2026-116779 في خادم الاتصالات مفتوح المصدر هذا، الذي تعمل عليه مقاسم IP ومراكز الاتصال وبوابات SIP. وتمنحها النشرة درجة 9.8 من 10 وتشير إلى رصد استغلالها. وفي 9 نوفمبر أضافتها الوكالة الأمريكية CISA إلى فهرس الثغرات المستغلة فعليًا، ومنحت الوكالات الفيدرالية مهلة حتى 12 نوفمبر مع إلزامها بفحص جنائي.
كيف يدخل المهاجمون
عندما يستقبل FreeSWITCH طلب SIP MESSAGE، وهو طلب المراسلة الفورية في بروتوكول SIP، يقرأ اسم المستلم ليختار وحدة الدردشة التي ستسلّمه. وإحدى هذه الوحدات، واسمها api، تمرر محتواها مباشرة إلى مفسر أوامر FreeSWITCH. وهكذا يختار المهاجم أمرًا وينفذه بصلاحيات عملية FreeSWITCH: أوامر النظام، وقراءة الإعدادات وكلمات المرور، وإجراء المكالمات. وإذا كانت وحدة Lua محمّلة، كما في الإعدادات الأصلية، يمكن تنفيذ شيفرة Lua عشوائية أيضًا.
الإعدادات الافتراضية معرضة: الدردشة مفعّلة في الملفين internal وexternal، وقائمة ACL الواردة لا تصفي هذه الرسائل. وإذا كانت مصادقة الرسائل مطلوبة، يكفي حساب SIP واحد، كهاتف مكتبي أو خط trunk. أما الخوادم التي أبقت على مستخدم المثال default بلا كلمة مرور فلا تحتاج إلى أي حساب.
جميع الإصدارات حتى 1.11.2 متأثرة. ويضيف الإصدار 1.11.3 المعامل enable-chat-api-proto المعطّل افتراضيًا: فتُرفض هذه الرسائل برمز 403 وتُسجَّل.
ما الذي يجب فعله الآن
- تحققوا من الإصدار بالأمر
fs_cli -x versionوحدّثوا إلى 1.11.3 أو أحدث. - وحتى ذلك الحين، اضبطوا
enable-chatعلىfalseفي كل ملف SIP لا يحتاج إلى الدردشة الواردة. مصادقة الرسائل أوdisable_system_api_commandsتقلل الخطر لكنها لا تسد الثغرة. - احذفوا المستخدمين بلا كلمة مرور من الدليل: تأتي إعدادات vanilla باثنين منهم، default ومثال Skinny.
- ابحثوا عن آثار: طلبات SIP MESSAGE يبدأ مستلمها بـ api+ في السجلات أو الالتقاطات، وعمليات مجهولة أطلقها المستخدم freeswitch، وملفات عُدلت مؤخرًا. وعند الشك، غيّروا كلمات مرور SIP والخطوط.
- قيّدوا منافذ SIP بعناوين مزود الخدمة ومواقعكم بدلًا من الإنترنت كله.
رأينا
خادم الاتصالات خادم كغيره، وكثيرًا ما يُثبَّت مرة ثم يُنسى. أدرجوه في الجرد وفي دورة التحديثات، وأزيلوا حسابات المثال والوظائف غير المستخدمة: فهنا كانت وظيفة دردشة لا يحتاجها أحد كافية لتسليم الجهاز.
المصادر
- FreeSWITCH (GitHub) — Inbound SIP MESSAGE can select the api chat proto and run FreeSWITCH API commands (GHSA-mg63-h38w-8p9p)
- CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-116779 (SignalWire FreeSWITCH)
كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←
هل خادمك مكشوف؟ أجرِ فحصًا مجانيًا — معلومات عامة فقط، دون اختراق:
هل تخشون أن تكون خوادمكم مكشوفة؟ يقوم فريقنا بتدقيق البنى التحتية Linux والسحابية وتحديثها ومراقبتها على مدار الساعة.
تحدّث إلى خبير خدماتنا لإدارة الخوادم ←
