FreeSWITCH: uma única mensagem SIP basta para executar comandos no servidor, e a falha está sendo explorada

Monitoramento cibernético da Top-Secured: análise independente baseada nas fontes citadas abaixo. A Top-Secured não é afiliada às empresas mencionadas e nunca pedirá seus dados bancários nem suas senhas.

Uma falha do FreeSWITCH, o servidor de telefonia de código aberto, permite que uma requisição SIP MESSAGE execute comandos na máquina, já na configuração padrão. Os mantenedores relatam exploração e a CISA incluiu a CVE-2026-116779 no seu catálogo de vulnerabilidades exploradas em 9 de novembro de 2026; a versão 1.11.3 corrige o problema.

O que aconteceu

Os mantenedores do FreeSWITCH publicaram em 28 de outubro de 2026 um aviso de segurança sobre a CVE-2026-116779, uma falha desse servidor de telefonia de código aberto que roda PABX IP, centrais de atendimento e gateways SIP. O aviso atribui a ela nota 9,8 de 10 e informa que já houve exploração. Em 9 de novembro, a agência americana CISA a adicionou ao seu catálogo de vulnerabilidades exploradas ativamente: as agências federais têm até 12 de novembro para agir e devem fazer uma verificação forense.

Como os atacantes entram

Quando o FreeSWITCH recebe um SIP MESSAGE, a requisição de mensagem instantânea do protocolo SIP, ele lê o nome do destinatário para escolher o módulo de chat que vai entregá-la. Um desses módulos, chamado api, repassa o conteúdo diretamente ao interpretador de comandos do FreeSWITCH. O atacante escolhe então um comando e o executa com as permissões do processo FreeSWITCH: comandos do sistema, leitura da configuração e das senhas, realização de chamadas. Se o módulo Lua estiver carregado, como na configuração de fábrica, código Lua arbitrário também pode ser executado.

A configuração padrão está exposta: o chat fica ativo nos perfis internal e external, e a ACL de entrada não filtra essas mensagens. Se a autenticação de mensagens for exigida, basta uma conta SIP, como um ramal ou um tronco. Servidores que mantiveram o usuário de exemplo default, sem senha, não exigem conta nenhuma.

Todas as versões até a 1.11.2 são afetadas. A 1.11.3 adiciona o parâmetro enable-chat-api-proto, desativado por padrão: essas mensagens passam a ser recusadas com um 403 e registradas.

O que fazer agora

1. Confira a versão com fs_cli -x version e atualize para a 1.11.3 ou posterior.
2. Enquanto isso, defina enable-chat como false em cada perfil SIP que não precisa de chat de entrada. A autenticação de mensagens ou disable_system_api_commands reduzem o risco, mas não fecham a brecha.
3. Remova os usuários sem senha do diretório: a configuração vanilla traz dois, default e o exemplo Skinny.
4. Procure vestígios: requisições SIP MESSAGE cujo destinatário começa com api+ nos logs ou capturas, processos desconhecidos iniciados pelo usuário freeswitch, arquivos alterados recentemente. Na dúvida, troque as senhas SIP e dos troncos.
5. Restrinja as portas SIP aos endereços da sua operadora e das suas unidades, e não à Internet inteira.

Nossa opinião

Um servidor de telefonia é um servidor como qualquer outro, muitas vezes instalado uma vez e depois esquecido. Coloque-o no inventário e no ciclo de atualizações, e remova contas de exemplo e funções sem uso: aqui, um chat que ninguém usava bastou para entregar a máquina.

Fontes

• FreeSWITCH (GitHub) — Inbound SIP MESSAGE can select the api chat proto and run FreeSWITCH API commands (GHSA-mg63-h38w-8p9p)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-116779 (SignalWire FreeSWITCH)

Como escolhemos, verificamos e escrevemos nossas análises →