FreeSWITCH: Eine einzige SIP-Nachricht genügt, um Befehle auf dem Server auszuführen, die Lücke wird ausgenutzt
Kritisch CVE-2026-116779 FreeSWITCH VoIP SIP Linux

Top-Secured Cyber-Monitoring: unabhängige Analyse auf Grundlage der unten genannten Quellen. Top-Secured ist mit den genannten Unternehmen nicht verbunden und wird Sie niemals nach Bankdaten oder Passwörtern fragen.

Eine Lücke in FreeSWITCH, dem quelloffenen Telefonieserver, erlaubt es einer SIP-MESSAGE-Anfrage, Befehle auf dem System auszuführen, und zwar in der Standardkonfiguration. Die Entwickler melden Angriffe, und die CISA hat CVE-2026-116779 am 9. November 2026 in ihren Katalog ausgenutzter Schwachstellen aufgenommen; Version 1.11.3 behebt das Problem.

Was passiert ist

Die FreeSWITCH-Entwickler haben am 28. Oktober 2026 eine Sicherheitsmeldung zu CVE-2026-116779 veröffentlicht, einer Lücke im quelloffenen Telefonieserver, auf dem IP-Telefonanlagen, Callcenter und SIP-Gateways laufen. Die Meldung bewertet sie mit 9,8 von 10 und hält fest, dass Ausnutzung beobachtet wurde. Am 9. November nahm die US-Behörde CISA die Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen auf, mit Frist bis 12. November für Bundesbehörden und verpflichtender forensischer Prüfung.

Wie Angreifer eindringen

Empfängt FreeSWITCH eine SIP MESSAGE, die Sofortnachricht des SIP-Protokolls, liest es den Empfängernamen, um das zuständige Chat-Modul zu wählen. Eines dieser Module, api genannt, reicht seinen Inhalt direkt an den Befehlsinterpreter von FreeSWITCH weiter. Ein Angreifer wählt also einen Befehl und lässt ihn mit den Rechten des FreeSWITCH-Prozesses ausführen: Systembefehle, Auslesen von Konfiguration und Passwörtern, Anrufe. Ist das Lua-Modul geladen, wie in der Standardkonfiguration, läuft auch beliebiger Lua-Code.

Die Standardkonfiguration ist betroffen: Chat ist auf den Profilen internal und external aktiv, und die eingehende ACL filtert diese Nachrichten nicht. Wird Nachrichtenauthentifizierung verlangt, genügt ein einziges SIP-Konto, etwa ein Telefon oder ein Trunk. Server mit dem Beispielbenutzer default ohne Passwort brauchen gar kein Konto.

Alle Versionen bis 1.11.2 sind betroffen. Version 1.11.3 führt den standardmäßig deaktivierten Parameter enable-chat-api-proto ein: Solche Nachrichten werden dann mit 403 abgewiesen und protokolliert.

Was jetzt zu tun ist

  1. Prüfen Sie die Version mit fs_cli -x version und aktualisieren Sie auf 1.11.3 oder neuer.
  2. Bis dahin setzen Sie enable-chat auf false in jedem SIP-Profil, das keinen eingehenden Chat braucht. Nachrichtenauthentifizierung oder disable_system_api_commands senken das Risiko, schließen die Lücke aber nicht.
  3. Löschen Sie Verzeichnisbenutzer ohne Passwort: Die Vanilla-Konfiguration liefert zwei mit, default und das Skinny-Beispiel.
  4. Suchen Sie nach Spuren: SIP-MESSAGE-Anfragen, deren Empfänger mit api+ beginnt, unbekannte Prozesse des Benutzers freeswitch, kürzlich geänderte Dateien. Im Zweifel SIP- und Trunk-Passwörter ändern.
  5. Beschränken Sie die SIP-Ports auf Ihren Anbieter und Ihre Standorte statt auf das ganze Internet.

Unsere Einschätzung

Ein Telefonieserver ist ein Server wie jeder andere, oft einmal installiert und dann vergessen. Nehmen Sie ihn in Inventar und Patchzyklus auf und entfernen Sie Beispielkonten und ungenutzte Funktionen: Hier genügte eine Chatfunktion, die niemand brauchte, um die Maschine preiszugeben.

Quellen

Wie wir unsere Analysen auswählen, prüfen und schreiben →

Ist Ihr eigener Server angreifbar? Machen Sie einen kostenlosen Test — nur öffentliche Informationen, ohne Eindringen:

Server prüfen Website prüfen

Sorgen, dass Ihre Server angreifbar sind? Unser Team prüft, patcht und überwacht Linux- und Cloud-Infrastrukturen rund um die Uhr.

Mit einem Experten sprechen Unsere Managed Server Services →
Zurück zu allen News