要点
- IP 電話の基盤ソフト FreeSWITCH に、外から送るメッセージ1通でサーバー上の命令を実行されうる欠陥があり、実際の攻撃に使われたと開発元が述べている。
- 設定の読み出し、通話の操作、サーバーの乗っ取りにつながりうる。標準の設定のままだと当たる。
- 修正版は 1.11.3。すぐに更新できない場合は、使わない文字メッセージ機能を切る回避策がある。
何が起きたか
FreeSWITCH は、IP 電話やコールセンター、通話アプリの裏側で動くオープンソースの通話基盤だ。開発元は SignalWire である。
SignalWire は 2026年10月28日、この基盤の欠陥 CVE-2026-116779 の advisory（注意喚起）を公開した。深刻度は 10 点満点で 9.8 の「重大」とされている。
欠陥があるのは、SIP（IP 電話で通話の開始や終了をやり取りする決まり）の「MESSAGE」という文字メッセージの扱いだ。宛先の一部が、メッセージを処理する方式の名前として読まれる。その結果、送り手が FreeSWITCH の管理用の命令を選べてしまう。命令は FreeSWITCH のプロセスと同じ権限で動く。
advisory によると、影響は次のとおりだ。
- サーバー上での命令の実行
- 設定や認証情報の漏えい
- 通話の全面的な操作
advisory は、標準の設定の公開用・内部用の両プロファイル（通話の受け口の設定）が、この文字メッセージを受け付けると説明している。受け付ける通信を絞る設定（ACL）も、この種のメッセージには効かない。認証を有効にしていても、1つのアカウントがあれば足りる。標準の設定にある初期ユーザーにパスワードがなければ、認証なしでも足りる可能性があると書かれている。
advisory は「この経路の悪用は実際に観測されている」と述べる。ただし、攻撃の規模や攻撃者についての詳細は書かれていない。SecurityWeek の報道によると、米国の CISA（サイバーセキュリティ・インフラ安全保障庁）は11月9日（月）にこの欠陥を悪用が確認された欠陥の一覧（KEV）に加え、米国の連邦機関に3日以内の対応を求めた。
日本の利用者への影響
日本の組織や利用者への被害の報告は、確認できていない。
FreeSWITCH はオープンソースで、IP 電話の交換機、コールセンター、通話機能を持つサービスの内部などで使われうる。日本国内の利用数は分からない。自社で通話基盤を運用している事業者や、委託先がこれを使っている場合は、確認が要る。
今すぐやること
- 自社や委託先が FreeSWITCH を使っているか確かめる。通話基盤を管理する担当者や業者に聞くのが早い。
- 使っていれば、修正版の 1.11.3 以降に更新する。
- すぐ更新できないときは、SignalWire の勧めに従い、文字メッセージ機能が要らない受け口でその機能を切る。これで該当の経路は閉じるという。
- インターネットに公開している通話の受け口を見直す。必要のない公開は閉じ、パスワードのない初期ユーザーは削除する。ただし advisory によると、認証を強めるだけでは足りない。
- 更新前に攻撃を受けた可能性を考え、ログを確認する。不審な点があれば、設定に入っていた認証情報（回線事業者のパスワードなど）を変更する。
背景
通話基盤は、インターネットに公開されがちで、乗っ取られると不正な国際電話の発信など、お金の被害につながりやすい。攻撃者にとって魅力のある標的だ。
今回は、標準の設定のままで当たる点が重い。advisory は、管理用の機能を外から選べる口が開いていたことを根本の原因としている。修正版では、この機能を許すかどうかを受け口ごとに決める新しい設定が加わり、初期値は「許さない」になった。
同じ SecurityWeek の記事は、IBM Aspera Faspex の悪用にも触れている。こちらは本記事では扱わない。
技術者向けの詳細
- 識別子: CVE-2026-116779 / GHSA-mg63-h38w-8p9p。CVSS 3.1: 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。
- 分類: CWE-77、CWE-78、CWE-749。
- 影響を受ける版: FreeSWITCH 1.11.2 以前。修正版: 1.11.3 以降。
- 原因: 受信した SIP MESSAGE の To ユーザーの「+」より前が、チャットのプロトコル名として扱われ、
apiを選べる。選択に制限がない。 - 標準設定では、conf/vanilla の internal / external 両プロファイルが MESSAGE を受け付ける。inbound ACL は MESSAGE を対象にしない。mod_lua が標準で読み込まれ、Lua も経路になりうると advisory は述べる。
- 回避策: 不要なプロファイルで
enable-chat=false。 - 不十分な対策:
auth-messagesだけ、またはdisable_system_api_commands=trueだけでは足りない（認証済みの実行や他の API 命令が残る）。 - 修正: プロファイルごとの
enable-chat-api-proto（初期値オフ）を追加。拒否した要求には 403 を返し、記録する。 - 確認: 稼働中の版は
fs_cli -x versionなどで確かめる。パッケージで入れているなら、パッケージ管理の版も見る。 - 悪用の詳細（攻撃元、侵入の跡）は advisory には書かれていない。
