CVE-2026-116779 permet d’exécuter des commandes API FreeSWITCH via un SIP MESSAGE malveillant; la vulnérabilité est considérée comme critique et nécessite une action immédiate. SignalWire attribue un score CVSS 3.1 de 9.8 (vecteur réseau, complexité faible, aucune interaction utilisateur, pas de privilèges requis) et Bitsight lui donne un DVE de 10.0/10, en tenant compte d’exploitations signalées et de l’intérêt des acteurs de menace.
CVE-2026-116779 : gravité et exposition
Par défaut, les profils internes et externes fournis avec FreeSWITCH laissent activé le traitement du chat, sauf si un administrateur définit enable-chat=false. Pour exploiter la faille, un SIP MESSAGE doit atteindre un profil qui accepte les messages entrants ; lorsqu’une authentification est requise, l’accès à un compte sur ce profil suffit pour l’exploiter. SignalWire signale aussi que l’annuaire « vanilla » inclut des utilisateurs sans mot de passe ni hash A1 : à moins que allow-empty-password soit réglé sur false pour ces comptes, ils peuvent s’authentifier sans information d’identification séparée. Le fait que la vulnérabilité ne requière « aucun privilège » ne signifie pas que chaque instance est automatiquement accessible : les équipes doivent vérifier les versions installées et si le trafic SIP MESSAGE entrant peut atteindre chaque profil.
Correctifs et mesures temporaires
FreeSWITCH 1.11.3 corrige CVE-2026-116779. Cette version introduit le paramètre enable-chat-api-proto pour contrôler si les messages entrants peuvent sélectionner le protocole api chat ; ce réglage est désactivé par défaut, fermant cette voie à moins qu’un administrateur ne l’active explicitement. Les organisations doivent mettre à niveau vers FreeSWITCH 1.11.3 ou une version ultérieure et vérifier que la build corrigée est bien en production. Si le correctif ne peut pas être appliqué immédiatement, SignalWire recommande de définir enable-chat=false sur chaque profil qui n’a pas besoin du chat SIP entrant : cela désactive la gestion des MESSAGE entrants sur ces profils, mais il convient de vérifier d’abord l’usage légitime du messagerie avant d’appliquer ce contournement.
Limites des défenses partielles
Des défenses partielles réduisent le risque sans résoudre la vulnérabilité. L’application de l’authentification des messages et la suppression des utilisateurs d’annuaire sans données de mot de passe peuvent diminuer l’accès non authentifié, mais SignalWire rappelle que des comptes authentifiés peuvent toujours exploiter la faille. Désactiver les commandes API système ne suffit pas non plus, car d’autres API enregistrées restent disponibles. De plus, les ACL entrantes de FreeSWITCH ne couvrent pas le trafic MESSAGE : modifier uniquement ces règles ACL ne sécurisera donc pas une route autrement accessible.
Visibilité externe et rôle de Bitsight
Bitsight External Attack Surface Management aide les équipes à repérer les actifs exposés sur Internet et à évaluer l’exposition à travers des environnements internes et des prestataires. Les scores DVE apportent du contexte sur la menace, aidant à prioriser les vulnérabilités pour lesquelles il existe des preuves d’exploitation et un intérêt accru des acteurs malveillants. Pour CVE-2026-116779, la visibilité externe peut faire remonter les instances FreeSWITCH à revoir, mais un scan externe seul ne peut pas vérifier précisément la build, les options de profil ni si un SIP MESSAGE est accepté. Les équipes doivent valider ces éléments auprès des responsables d’actifs, contrôler les journaux et la configuration, et confirmer le niveau de correctif sur chaque hôte.
Parce que l’activation du chat entrant est la configuration par défaut sur les profils fournis, les organisations ne doivent pas supposer que seules les installations personnalisées sont à risque. SignalWire indique que des exploitations ont été observées en conditions réelles et la présence de l’entrée dans la liste KEV de CISA renforce l’urgence de la remédiation : mettre à jour vers FreeSWITCH 1.11.3 ou ultérieur et, en attendant, appliquer enable-chat=false sur les profils qui n’ont pas besoin de chat entrant.
