FreeSWITCH: basta un messaggio SIP per eseguire comandi sul server, e la falla è sfruttata

Monitoraggio cyber di Top-Secured: analisi indipendente basata sulle fonti citate più in basso. Top-Secured non è affiliato alle aziende menzionate e non le chiederà mai le sue credenziali bancarie né le sue password.

Una falla di FreeSWITCH, il server di telefonia open source, consente a una richiesta SIP MESSAGE di eseguire comandi sulla macchina, già nella configurazione predefinita. I manutentori segnalano attacchi in corso e il 9 novembre 2026 la CISA ha inserito la CVE-2026-116779 nel suo catalogo delle vulnerabilità sfruttate; la versione 1.11.3 la corregge.

Cosa è successo

Il 28 ottobre 2026 i manutentori di FreeSWITCH hanno pubblicato un avviso di sicurezza sulla CVE-2026-116779, una falla di questo server di telefonia open source che fa funzionare centralini IP, call center e gateway SIP. L’avviso le assegna 9,8 su 10 e indica che sono stati osservati sfruttamenti. Il 9 novembre l’agenzia statunitense CISA l’ha aggiunta al suo catalogo delle vulnerabilità sfruttate attivamente: le agenzie federali hanno tempo fino al 12 novembre e devono svolgere una verifica forense.

Come entrano gli aggressori

Quando FreeSWITCH riceve un SIP MESSAGE, la richiesta di messaggistica istantanea del protocollo SIP, legge il nome del destinatario per scegliere il modulo di chat che deve consegnarlo. Uno di questi moduli, chiamato api, passa il contenuto direttamente all’interprete dei comandi di FreeSWITCH. L’aggressore sceglie quindi un comando e lo fa eseguire con i privilegi del processo FreeSWITCH: comandi di sistema, lettura della configurazione e delle password, avvio di chiamate. Se il modulo Lua è caricato, come nella configurazione di serie, può eseguire anche codice Lua arbitrario.

La configurazione predefinita è esposta: la chat è attiva sui profili internal ed external e l’ACL in ingresso non filtra questi messaggi. Se è richiesta l’autenticazione dei messaggi, basta un solo account SIP, un telefono o un trunk. I server che hanno mantenuto l’utente di esempio default, senza password, non ne richiedono nessuno.

Sono vulnerabili tutte le versioni fino alla 1.11.2. La 1.11.3 introduce il parametro enable-chat-api-proto, disattivato per impostazione predefinita: questi messaggi vengono rifiutati con un 403 e registrati.

Cosa fare subito

1. Verificate la versione con fs_cli -x version e aggiornate alla 1.11.3 o successiva.
2. Nel frattempo impostate enable-chat su false in ogni profilo SIP che non ha bisogno della chat in ingresso. L’autenticazione dei messaggi o disable_system_api_commands riducono il rischio ma non chiudono la falla.
3. Eliminate gli utenti senza password dalla directory: la configurazione vanilla ne contiene due, default e l’esempio Skinny.
4. Cercate tracce: richieste SIP MESSAGE il cui destinatario inizia con api+ nei log o nelle catture, processi sconosciuti avviati dall’utente freeswitch, file modificati di recente. Nel dubbio, cambiate le password SIP e dei trunk.
5. Limitate le porte SIP agli indirizzi del vostro operatore e delle vostre sedi invece che a tutta Internet.

Il nostro parere

Un server di telefonia è un server come gli altri, spesso installato una volta e poi dimenticato. Inseritelo nell’inventario e nel ciclo di aggiornamenti, e togliete account di esempio e funzioni inutilizzate: qui è bastata una chat che nessuno usava per consegnare la macchina.

Fonti

• FreeSWITCH (GitHub) — Inbound SIP MESSAGE can select the api chat proto and run FreeSWITCH API commands (GHSA-mg63-h38w-8p9p)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-116779 (SignalWire FreeSWITCH)

Come scegliamo, verifichiamo e scriviamo le nostre analisi →