Čo sa stalo
FreeSWITCH je open source softvér, na ktorom bežia IP telefónne ústredne, call centrá a služby operátorov VoIP. Vyvíja ho firma SignalWire. Vývojári 28. októbra 2026 zverejnili na GitHube bezpečnostné upozornenie GHSA-mg63-h38w-8p9p ku kritickej chybe, ktorá dostala označenie CVE-2026-116779. Záznam v databáze NVD pribudol 5. novembra 2026.
Chyba je v module mod_sofia, ktorý má na starosti SIP komunikáciu. Keď server prijme od protistrany textovú SIP správu typu MESSAGE (slúži na chat medzi telefónmi), odosielateľ ju môže namiesto doručenia nasmerovať do interného príkazového rozhrania FreeSWITCH. Server potom príkaz vykoná s oprávneniami, pod ktorými beží služba FreeSWITCH.
Výrobca v upozornení uvádza, že zneužitie chyby už bolo zaznamenané v praxi. Americká agentúra CISA ju 9. novembra 2026 zaradila do katalógu aktívne zneužívaných zraniteľností (KEV) a európska databáza EUVD agentúry ENISA ju vedie ako zneužívanú od 9. novembra 2026. Oprava je vo verzii 1.11.3.
Prečo je to nebezpečné
Ide o vloženie príkazu (command injection, CWE-77 a CWE-78) v kombinácii s nechránenou nebezpečnou funkciou (CWE-749). Predstavte si podateľňu, ktorá má listy len doručovať. Keď však na obálku napíšete správne slovo, úradník list nedoručí, ale vykoná, čo je v ňom napísané. Server jednoducho nerozlišuje medzi „doruč správu“ a „vykonaj príkaz“.
Útok ide cez sieť a stačí, aby server prijal jedinú SIP správu. Kde je overovanie správ zapnuté (predvolene od verzie 1.10.7), útočník potrebuje ľubovoľný účet na danom SIP profile, napríklad klapku, telefón alebo prepojenie s operátorom (trunk). Inštalácie, ktoré si zo vzorovej konfigurácie ponechali používateľa „default“ bez hesla, nepotrebujú ani to.
Podľa výrobcu môže útočník spúšťať ľubovoľné príkazy operačného systému s oprávneniami procesu FreeSWITCH, získať konfiguráciu a prihlasovacie údaje a plne ovládať hovory. Ak je načítaný modul mod_lua, čo vzorová konfigurácia robí, má k dispozícii aj druhú cestu cez skripty v jazyku Lua.
Vo všeobecnosti platí, že ovládnutý server môže poslúžiť ako odrazový mostík ďalej do firemnej siete. Ukradnuté SIP údaje sa dajú zneužiť na drahé hovory na účet firmy.
- CVSS 9,8 z 10 (verzia 3.1): medzinárodná stupnica závažnosti. Hodnotenie je uvedené v bezpečnostnom upozornení výrobcu na GitHube a jeho zdrojom je GitHub, nie NVD. Znamená kritickú chybu zneužiteľnú cez sieť bez akejkoľvek akcie používateľa.
- CISA KEV: zoznam americkej agentúry CISA so zraniteľnosťami, ktoré sa preukázateľne zneužívajú. Federálne úrady v USA ju musia vyriešiť do 12. novembra 2026. Či ju využívajú ransomvérové skupiny, CISA zatiaľ nevie.
- EPSS 1,3 %: odhad pravdepodobnosti zneužitia v najbližších 30 dňoch. Číslo pôsobí nízko, no chyba je rizikovejšia ako približne 71 % hodnotených zraniteľností. Rozhodujúce je, že zneužívanie je už potvrdené.
Koho sa to týka
Zasiahnutý je FreeSWITCH vo verzii 1.11.2 a všetkých starších. Zraniteľný je každý SIP profil, ktorý prijíma prichádzajúce správy MESSAGE. To je predvolený stav: chat je zapnutý, kým ho profil výslovne nevypne nastavením enable-chat=false, a vzorová konfigurácia conf/vanilla ho necháva zapnutý na profiloch internal aj external.
Výrobca upozorňuje, že sprísnenie prístupového zoznamu pre prichádzajúcu komunikáciu (inbound ACL) nepomôže, pretože správy MESSAGE nepokrýva.
FreeSWITCH typicky beží na firemných IP ústredniach, v call centrách, u poskytovateľov VoIP a hostovanej telefónie, často so SIP portom dostupným z internetu. CISA pripomína, že ide o komponent, ktorý môžu používať aj iné produkty. Ak máte ústredňu od dodávateľa, opýtajte sa ho, či je postavená na FreeSWITCH a ktorú verziu obsahuje.
Netýka sa to verzie 1.11.3 a novších ani ústrední, ktoré FreeSWITCH vôbec neobsahujú.
Ako zistiť, či ste zasiahnutí
Všetky príkazy nižšie len čítajú a nič nemenia. Spúšťajte ich na serveri s FreeSWITCH. Cesta ku konfigurácii sa líši podľa inštalácie, často je to /etc/freeswitch alebo /usr/local/freeswitch/conf. Príkazy prehľadajú obe.
Verzia bežiaceho FreeSWITCH a nainštalovaných balíkov (Debian/Ubuntu alebo RHEL a príbuzné):
fs_cli -x "version"
dpkg -l | grep -i freeswitch
rpm -qa | grep -i freeswitchKtoré SIP profily bežia a či majú chat vypnutý:
fs_cli -x "sofia status"
grep -rn "enable-chat" /etc/freeswitch/sip_profiles/ /usr/local/freeswitch/conf/sip_profiles/ 2>/dev/nullČi v adresári používateľov zostal ukážkový používateľ „default“:
grep -rln 'id="default"' /etc/freeswitch/directory/ /usr/local/freeswitch/conf/directory/ 2>/dev/nullAk máte verziu 1.11.2 alebo nižšiu a profil nemá enable-chat=false, ste zasiahnutí.
Ako to opraviť
Opravená je verzia FreeSWITCH 1.11.3. Výrobca ju v poznámkach k vydaniu označuje za dôležitú, s kritickými bezpečnostnými opravami, a dôrazne odporúča aktualizovať čo najskôr. Toto vydanie už nepodporuje Debian 11 Bullseye, s čím počítajte pri plánovaní.
Odporúčané poradie krokov:
- Hneď teraz: na každom SIP profile, ktorý nepotrebuje prijímať SIP chat, nastavte
enable-chat=false. Podľa výrobcu to zastaví správu ešte pred jej spracovaním, zároveň však vypne všetky prichádzajúce chatové správy na danom profile. - Odstráňte všetkých používateľov bez hesla a bez a1-hash. Vzorová konfigurácia obsahuje dvoch: „default“ a ukážkový účet Skinny.
- Nastavte
disable_system_api_commands=true. Výrobca to odporúča, hoci samo osebe zraniteľnú cestu neuzavrie. - Zálohujte konfiguráciu a aktualizujte na 1.11.3. Ak máte ústredňu od dodávateľa, vyžiadajte si od neho aktualizáciu.
- Nový parameter
enable-chat-api-protonezapínajte. Je predvolene vypnutý, vo vzorových profiloch zakomentovaný a práve to zraniteľnú cestu uzatvára. Rovnaký prepínač pribudol aj v module mod_verto. - Overte verziu a obmedzte prístup k SIP portom z internetu firewallom len na známe adresy operátorov a pobočiek.
Výrobca upozorňuje, že samotné overovanie správ (auth-messages) nestačí. Spolu s odstránením používateľov bez hesla zníži riziko len na útok z prihláseného účtu, cestu však neuzavrie. Skutočnou opravou je až verzia 1.11.3.
Čo ak už ste mohli byť napadnutí
Keďže chyba sa aktívne zneužíva, počítajte s tým, že zraniteľné servery dostupné z internetu mohli byť napadnuté. Výrobca zatiaľ nezverejnil konkrétne indikátory napadnutia, preto sledujte všeobecné znaky:
- Logy FreeSWITCH (často
/var/log/freeswitch/freeswitch.log): správy MESSAGE z neznámych adries a nečakané API príkazy. - Neznáme procesy spustené používateľom, pod ktorým beží FreeSWITCH, nové naplánované úlohy (
cron), neznáme systémové účty a SSH kľúče. - Zmeny v konfigurácii, nečakane načítané moduly a neznáme súbory v adresároch FreeSWITCH.
- Záznamy hovorov (CDR): hovory na drahé zahraničné či prémiové čísla, nočné hovory, nečakane vysoký účet od operátora.
Po aktualizácii na 1.11.3 server každý pokus odmietne odpoveďou 403 a zapíše ho do logu aj s adresou odosielateľa a požadovaným príkazom. Z logov tak uvidíte, či vás niekto skúša.
Útočník mohol získať konfiguráciu a heslá, preto zmeňte heslá SIP účtov, prístupy k operátorom a ďalšie údaje uložené na serveri. Ak nájdete stopy napadnutia, odpojte server od siete, zachovajte logy a prizvite odborníka na riešenie incidentov.