SignalWire FreeSwitch
SignalWire FreeSWITCH: un messaggio SIP può eseguire comandi API e di sistema, già sfruttata
Il problema, secondo i dati ufficiali
- FreeSWITCH interpreta la parte dell'utente "To" di un messaggio SIP MESSAGE in arrivo, prima del segno più, come selettore del protocollo di chat. Scegliendo il protocollo "api", un messaggio accettato può eseguire comandi API di FreeSWITCH, anche comandi del sistema operativo, con i privilegi del servizio.
- Basta un account autenticato di un profilo. Nelle configurazioni colpite, anche gli utenti della directory predefiniti senza password possono superare questo ostacolo. La chat in ingresso è attiva sui profili internal ed external predefiniti.
- La falla permette di leggere configurazione e credenziali, controllare le chiamate a piacere ed eseguire comandi.
- È già usata in attacchi reali: la CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate il 09/11/2026.
- Secondo la CISA l'attacco si può automatizzare.
Cosa fare
- Aggiorna freeswitch alla versione 1.11.3 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
- Se è stato esposto, controlla anche che nessuno sia già entrato: utenti nuovi, file modificati, accessi strani nei log.
Versioni interessate
- freeswitch: prima della 1.11.3
Ne parlano
- IBM Aspera Faspex, SignalWire FreeSwitch Vulnerabilities Exploited in Attacks — SecurityWeek, 10 novembre 2026
Fonti ufficiali
- nvd.nist.gov — avviso del produttore
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
Descrizione ufficiale (in inglese)
FreeSWITCH is a Software Defined Telecom Stack enabling the digital transformation from proprietary telecom switches to a software implementation that runs on any commodity hardware. Prior to 1.11.3, sofia_presence_handle_sip_i_message() split the To user of an inbound SIP MESSAGE on a plus sign and treated the left side as a chat protocol selector. Selecting the api chat proto reached switch_api_execute(), allowing a peer whose MESSAGE was accepted to run FreeSWITCH API commands, including operating-system command sinks, with the daemon's privileges. Inbound chat is enabled on the stock internal and external profiles, and any authenticated profile account is sufficient; stock directory users without password material can also remove that barrier in affected configurations. The flaw permits configuration and credential disclosure, arbitrary call control, and command execution, and exploitation has been observed in the wild. This issue is fixed in version 1.11.3.
Non sai se ti riguarda?
Se usi SignalWire FreeSwitch e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.