---
title: "FreeSWITCH の CVE-2026-116779: 1.11.3 より前で、SIP MESSAGE から API コマンドと OS コマンドを実行される恐れ（NVD は悪用の観測ありと記載、CVSS v3.1 9.8）"
url: https://n-t-p.io/worldsecurity/articles/freeswitch-cve-2026-116779-sip-message-api-command-execution-exploited
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 緊急
cve: CVE-2026-116779
---

# FreeSWITCH の CVE-2026-116779: 1.11.3 より前で、SIP MESSAGE から API コマンドと OS コマンドを実行される恐れ（NVD は悪用の観測ありと記載、CVSS v3.1 9.8）

> **TL;DR:** FreeSWITCH 1.11.3 より前は、受信した SIP MESSAGE から API コマンド（OS コマンドの実行手段を含む）をデーモンの権限で実行される恐れ。NVD は悪用の観測ありと記載。評価は CVSS v3.1 9.8（PR:N）だが、説明文は認証済みアカウントが要るとも書く。1.11.3 で修正。

**要点**
- FreeSWITCH 1.11.3 より前で、SIP MESSAGE の宛先を「+」で分けてチャットの種類に使う処理から、api を選ぶと API コマンドを実行される（CWE-77・78・749）。
- API コマンドには OS コマンドの実行手段を含み、デーモンの権限で動く。設定・資格情報の漏えい、通話の制御、コマンド実行の恐れ。
- NVD の記述は悪用の観測ありとするが、観測主体・時期は不明。KEV は未確認、EPSS は未算出。
- 評価は CVSS v3.1 9.8（AV:N・PR:N）。説明文は認証済みアカウントで足りるともあり、認証不要の範囲は構成次第。severity 案は critical。
- 修正版は 1.11.3。更新と、SIP の待ち受けの制限、弱いアカウントの確認、ログの点検を。参照先の勧告・コミットは未確認。

FreeSWITCH（SignalWire が公開する通話交換のソフトウェア）の 1.11.3 より前に、受信した SIP MESSAGE（SIP の短いメッセージ）を通じて、FreeSWITCH の API コマンドを実行される欠陥（**CVE-2026-116779**）が見つかりました。API コマンドには OS コマンドを実行する手段も含まれ、デーモンの権限で動きます。NVD への登録は 2026-11-05 で、登録元は GitHub（security-advisories@github.com）です。

NVD の記述は、**この欠陥の悪用が実際に観測されている**としています。観測した主体や時期は NVD の記述からは分かりません。

## 何が起きるか
- sofia_presence_handle_sip_i_message() が、受信した SIP MESSAGE の宛先ユーザー名を「+」で分け、左側をチャットの種類の指定として扱います。
- 種類に `api` を選ぶと switch_api_execute() に到達します。MESSAGE が受理された相手は、FreeSWITCH の API コマンド（OS コマンドの実行手段を含む）をデーモンの権限で動かせます。
- 標準の internal・external プロファイルでは受信チャットが有効です。NVD の記述では、プロファイルの認証済みアカウントが 1 つあれば足りるとされます。パスワードを持たない標準のディレクトリユーザーが残る構成では、その壁も外せるとされます。
- 起こりうる被害は、設定・資格情報の漏えい、通話の任意の制御、コマンド実行です（NVD の記述）。
- 弱点の種別は CWE-77・CWE-78・CWE-749 です。

## 影響を受ける版
| 対象 | 影響する版 | 修正版 |
|---|---|---|
| FreeSWITCH | 1.11.3 より前 | 1.11.3 |

## 評価
| 評価元 | 版 | 点数 | ベクター |
|---|---|---|---|
| GitHub（NVD の Secondary） | CVSS v3.1 | 9.8（Critical） | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |

- ベクターは認証不要（PR:N）です。一方、説明文は「認証済みアカウントが足りる」と書いており、両者はそろっていません。基準どおりベクターを採り、severity は **critical** を案とします。ただし「どこまで認証なしか」は構成次第で、確定はオーナーの判断待ちです。
- NVD の状態は評価待ち（Awaiting Analysis）です。FIRST の EPSS は、取得時点（2026-11-06）でまだ値がありません。
- CISA の KEV は、取得時点で確認できていません（CISA サイトへの接続が拒否されているため）。

## 対策として考えられること
1. FreeSWITCH を 1.11.3 以降へ更新します（修正のコミットと PR は NVD の参照先にあります）。
2. すぐ更新できない場合は、SIP の待ち受け（既定では 5060・5080 など）を、信頼できる相手のネットワークだけに絞ります。インターネットに直接出さないでください。
3. パスワードのない、または弱いディレクトリユーザーが残っていないかを確認し、全アカウントに強いパスワードを設定します。
4. 悪用の観測があるため、SIP MESSAGE の宛先が「api+」で始まる記録、見慣れない API コマンドの実行、想定外のプロセスや設定変更がないかをログで調べます。心当たりがあれば、設定や資格情報が漏れた前提で、パスワードや鍵を作り直します。

## 未確認の点
- 悪用の観測主体・時期・規模（NVD の記述のみで、第三者の確認は取れていません）。
- 参照先の GitHub 勧告（GHSA-mg63-h38w-8p9p）、コミット、リリースノートの中身（本稿では開いていません）。
- 1.11.3 より前のどの版から影響するか（下限は不明）。
- 認証なしで実行できる条件の正確な範囲。
- NVD の最終評価と KEV への掲載。
- 同じ FreeSWITCH の別の欠陥 CVE-2026-116785（WebSocket のヒープ上書き）は、別記事の扱いで本稿では扱いません。


## 出典
- [NVD CVE-2026-116779](https://nvd.nist.gov/vuln/detail/CVE-2026-116779) — NIST NVD
- [GitHub 勧告 GHSA-mg63-h38w-8p9p（NVD の参照先。未取得）](https://github.com/signalwire/freeswitch/security/advisories/GHSA-mg63-h38w-8p9p) — GitHub
- [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-116779) — FIRST
- [CISA KEV カタログ（接続拒否のため未確認）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/freeswitch-cve-2026-116779-sip-message-api-command-execution-exploited