FreeSWITCH: jedna zpráva SIP MESSAGE stačí ke spuštění příkazů na VoIP ústředně

Co se stalo

FreeSWITCH je otevřený software pro telefonní ústředny a VoIP. Firmy na něm stavějí vlastní ústředny, call centra, konferenční systémy a hlasové služby a používají ho i poskytovatelé telefonních služeb. Vyvíjí ho společnost SignalWire.

Výrobce 28. října 2026 zveřejnil bezpečnostní upozornění GHSA-mg63-h38w-8p9p ke kritické chybě, která dostala označení CVE-2026-116779. Útočník může pomocí běžné zprávy SIP MESSAGE (textová zpráva v rámci protokolu SIP) spustit na ústředně libovolný příkaz API FreeSWITCH. Mezi příkazy API patří i takové, které spouštějí příkazy operačního systému. Útočník tak může ovládnout server s právy procesu FreeSWITCH, přečíst konfiguraci včetně hesel a řídit hovory.

Výrobce v upozornění píše, že zneužití už bylo zaznamenáno v praxi. Americká agentura CISA zařadila chybu 9. listopadu 2026 do katalogu prokazatelně zneužívaných zranitelností (KEV) a federálním úřadům dala na nápravu čas jen do 12. listopadu 2026. Tak krátký termín CISA dává u chyb, které považuje za zvlášť naléhavé.

Jak vážné to je

Napadená ústředna není jen problém s telefony. Útočník na ní může spouštět příkazy, číst uložená hesla k účtům SIP a operátorským trasám a sestavovat hovory na účet firmy, například na drahá čísla v zahraničí. Ze serveru se navíc může dostat dál do firemní sítě.

Technické podrobnosti

Chyba je v modulu mod_sofia, který ve FreeSWITCH obsluhuje protokol SIP, konkrétně ve funkci sofia_presence_handle_sip_i_message() pro příchozí zprávy MESSAGE. Funkce rozdělí uživatelskou část adresy příjemce (hlavička To) podle znaku + a levou část bere jako název „chatového protokolu“, přes který má zprávu doručit.

Volba protokolu nebyla nijak omezená. Modul mod_dptools přitom registruje chatový protokol api, který obsah zprávy předá funkci switch_api_execute(), tedy spuštění příkazu API FreeSWITCH. Příčinou je podle výrobce to, že software neodděloval protokoly pro doručování zpráv od protokolů, které spouštějí příkazy. Druhou cestou je modul mod_lua, který je ve výchozí konfiguraci načtený: přes něj lze spustit kód v jazyce Lua s plnou standardní knihovnou.

Podmínky zneužití podle výrobce:

• Stačí výchozí nastavení. Chat je ve výchozím stavu zapnutý a vzorová konfigurace conf/vanilla ho zapíná na interním i externím profilu SIP.
• Přístupový seznam nepomáhá. Příchozí ACL se na zprávy MESSAGE nevztahuje, jeho zpřísnění tedy útok nezastaví.
• Stačí jeden účet. Když ústředna vyžaduje ověření zpráv, útočníkovi stačí jakýkoli účet na profilu, i takový, který smí jen registrovat telefon.
• Někdy ani účet. Instalace, které si ponechaly vzorový soubor conf/vanilla/directory/default/default.xml, obsahují uživatele default bez hesla. Takový uživatel projde ověřením, pokud není nastaveno allow-empty-password na false.

Návod ke zneužití ani ukázkový útok tu z principu neuvádíme.

Koho se to týká

Podle výrobce a NVD jsou zranitelné všechny verze FreeSWITCH do 1.11.2 včetně. Opravu obsahuje verze 1.11.3.

Týká se to firem, úřadů, nemocnic a dalších organizací, které provozují vlastní ústřednu nebo call centrum na FreeSWITCH, poskytovatelů VoIP služeb a dodavatelů, kteří FreeSWITCH zabudovali do vlastních produktů. Pokud ústřednu nespravujete sami, zeptejte se dodavatele, jestli ji na FreeSWITCH provozuje a kterou verzi používá. Běžní uživatelé telefonů nemusí dělat nic, jednat musí správce ústředny.

Jak poznat napadení

Výrobce nezveřejnil konkrétní indikátory napadení (IP adresy, vzorky útoků). Doporučuje sledovat:

• Zamítnuté zprávy v logu. Po aktualizaci na 1.11.3 ústředna zprávu, která si vybere protokol api, odmítne odpovědí 403 a zapíše do logu zdroj a požadovaný příkaz. Takové záznamy znamenají pokus o útok.
• Podezřelé zprávy MESSAGE v záznamech SIP. Příchozí MESSAGE, jejichž příjemce v hlavičce To obsahuje + a před ním api.
• Uživatele bez hesla. Účty v adresáři FreeSWITCH bez password nebo a1-hash, hlavně default.
• Nečekanou aktivitu API. Načítání modulů, sestavování hovorů nebo volání příkazu system, ke kterým neexistuje legitimní práce správce.

Naše doporučení navíc: projděte účtování hovorů (CDR) kvůli neobvyklým hovorům do zahraničí a na drahá čísla, procesy spuštěné pod uživatelem FreeSWITCH a změny v konfiguraci. IP adresy z exportu logů si vytáhnete do seznamu v našem extraktoru IOC, který běží jen ve vašem prohlížeči. Pokud napadení nelze vyloučit, berte server jako kompromitovaný: obnovte ho z čisté instalace a změňte všechna hesla, která na něm byla uložená, včetně přístupů k operátorovi.

Co udělat

1. Zjistěte verzi na každém serveru s FreeSWITCH (fs_cli -x version).
2. Aktualizujte na FreeSWITCH 1.11.3 nebo novější. Oprava přidává pro každý profil nastavení enable-chat-api-proto, které je vypnuté, pokud ho výslovně nezapnete. Nezapínejte ho.
3. Když nemůžete aktualizovat hned, nastavte enable-chat na false na všech profilech SIP, které nepotřebují příchozí chat. Zpráva se pak zastaví dřív, než se volba protokolu vůbec zpracuje. Na těchto profilech tím ale přestanou fungovat všechny příchozí zprávy MESSAGE. Po změně je potřeba profil načíst znovu.
4. Odstraňte uživatele bez hesla (vzorový default a příklad pro Skinny ze conf/vanilla) a ponechte allow-empty-password na false. Samo o sobě to podle výrobce chybu neuzavře, jen zúží okruh útočníků na přihlášené účty.
5. Nespoléhejte na dílčí opatření. Samotné auth-messages ani disable_system_api_commands=true podle výrobce útok nezastaví.
6. Omezte dostupnost SIP z internetu jen na adresy operátora a vzdálených poboček, kde to jde. Pro pravidla firewallu se hodí naše kalkulačka podsítí. Je to obecně dobrá praxe, ne pokyn výrobce.
7. Projděte známky napadení podle předchozí části, hlavně na ústřednách dostupných z internetu.
8. Hlaste incidenty. Organizace, na které se vztahuje zákon o kybernetické bezpečnosti, postupují podle svých povinností k hlášení. Na Slovensku přijímá hlášení SK-CERT přes formulář na sk-cert.sk.

Časová osa

Aktualizace

• 10. 11. 2026 – první verze článku.