FreeSWITCH の CVE-2026-116779: 1.11.3 より前で、SIP MESSAGE から API コマンドと OS コマンドを実行される恐れ（NVD は悪用の観測ありと記載、CVSS v3.1 9.8）

FreeSWITCH（SignalWire が公開する通話交換のソフトウェア）の 1.11.3 より前に、受信した SIP MESSAGE（SIP の短いメッセージ）を通じて、FreeSWITCH の API コマンドを実行される欠陥（CVE-2026-116779）が見つかりました。API コマンドには OS コマンドを実行する手段も含まれ、デーモンの権限で動きます。NVD への登録は 2026-11-05 で、登録元は GitHub（security-advisories@github.com）です。

NVD の記述は、この欠陥の悪用が実際に観測されているとしています。観測した主体や時期は NVD の記述からは分かりません。

何が起きるか

• sofia_presence_handle_sip_i_message() が、受信した SIP MESSAGE の宛先ユーザー名を「+」で分け、左側をチャットの種類の指定として扱います。
• 種類に api を選ぶと switch_api_execute() に到達します。MESSAGE が受理された相手は、FreeSWITCH の API コマンド（OS コマンドの実行手段を含む）をデーモンの権限で動かせます。
• 標準の internal・external プロファイルでは受信チャットが有効です。NVD の記述では、プロファイルの認証済みアカウントが 1 つあれば足りるとされます。パスワードを持たない標準のディレクトリユーザーが残る構成では、その壁も外せるとされます。
• 起こりうる被害は、設定・資格情報の漏えい、通話の任意の制御、コマンド実行です（NVD の記述）。
• 弱点の種別は CWE-77・CWE-78・CWE-749 です。

影響を受ける版

対象	影響する版	修正版
FreeSWITCH	1.11.3 より前	1.11.3

評価

評価元	版	点数	ベクター
GitHub（NVD の Secondary）	CVSS v3.1	9.8（Critical）	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

• ベクターは認証不要（PR:N）です。一方、説明文は「認証済みアカウントが足りる」と書いており、両者はそろっていません。基準どおりベクターを採り、severity は critical を案とします。ただし「どこまで認証なしか」は構成次第で、確定はオーナーの判断待ちです。
• NVD の状態は評価待ち（Awaiting Analysis）です。FIRST の EPSS は、取得時点（2026-11-06）でまだ値がありません。
• CISA の KEV は、取得時点で確認できていません（CISA サイトへの接続が拒否されているため）。

対策として考えられること

1. FreeSWITCH を 1.11.3 以降へ更新します（修正のコミットと PR は NVD の参照先にあります）。
2. すぐ更新できない場合は、SIP の待ち受け（既定では 5060・5080 など）を、信頼できる相手のネットワークだけに絞ります。インターネットに直接出さないでください。
3. パスワードのない、または弱いディレクトリユーザーが残っていないかを確認し、全アカウントに強いパスワードを設定します。
4. 悪用の観測があるため、SIP MESSAGE の宛先が「api+」で始まる記録、見慣れない API コマンドの実行、想定外のプロセスや設定変更がないかをログで調べます。心当たりがあれば、設定や資格情報が漏れた前提で、パスワードや鍵を作り直します。

未確認の点

• 悪用の観測主体・時期・規模（NVD の記述のみで、第三者の確認は取れていません）。
• 参照先の GitHub 勧告（GHSA-mg63-h38w-8p9p）、コミット、リリースノートの中身（本稿では開いていません）。
• 1.11.3 より前のどの版から影響するか（下限は不明）。
• 認証なしで実行できる条件の正確な範囲。
• NVD の最終評価と KEV への掲載。
• 同じ FreeSWITCH の別の欠陥 CVE-2026-116785（WebSocket のヒープ上書き）は、別記事の扱いで本稿では扱いません。