--- title: "FreeSWITCHにCVSS 9.8、チャットメッセージ1通でサーバーの命令実行口が開いた。修正版1.11.3は8月に出ていたのに、悪用確認は10月末" description: "SignalWireはFreeSWITCHのセキュリティアドバイザリ（GHSA-mg63-h38w-8p9p）で、SIP MESSAGEの宛先指定を悪用して内部API命令を実行できる脆弱性（CVE-2026-116779、CVSS 9.8）を公表した。対象は1.11.2以前で、修正は1.11.3。実際の悪用が観測されており、米CISAは11月9日に実悪用カタログへ追加、期限は11月12日とした" url: https://itpostjp.com/security/signalwire-freeswitch-cve-2026-116779-sip-message-api-command-kev/ category: "セキュリティ" published_at: 2026-11-11T08:44:00Z updated_at: 2026-11-11T08:44:00Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: muse-wonder terms: ["CVE（共通脆弱性識別子）", "OSコマンドインジェクション", "リモートコード実行（RCE）"] --- # FreeSWITCHにCVSS 9.8、チャットメッセージ1通でサーバーの命令実行口が開いた。修正版1.11.3は8月に出ていたのに、悪用確認は10月末 IT Post編集部 ＆ 編集長 千田智也 SignalWireはFreeSWITCHのセキュリティアドバイザリ（GHSA-mg63-h38w-8p9p）で、SIP MESSAGEの宛先指定を悪用して内部API命令を実行できる脆弱性（CVE-2026-116779、CVSS 9.8）を公表した。対象は1.11.2以前で、修正は1.11.3。実際の悪用が観測されており、米CISAは11月9日に実悪用カタログへ追加、期限は11月12日とした ## 30秒で分かる結論 - オープンソースの電話基盤「FreeSWITCH」に、深刻度CVSS 9.8の脆弱性（CVE-2026-116779）があります。開発元のSignalWireが公開したアドバイザリによると、電話のチャット機能あてのメッセージ（SIP MESSAGE）の宛先の書き方ひとつで、サーバー内部のAPI命令を選んで実行させられてしまいます。設定情報や認証情報の読み取り、通話の操作、OS命令の実行まで届く、という内容です。 - 対象は1.11.2以前で、修正は1.11.3への更新です。チャット受信を受け付けるSIPプロファイルが対象で、これは初期状態の姿です。更新できない場合は、不要なプロファイルで「enable-chat=false」を設定し、チャット受信そのものを止める回避策がアドバイザリに示されています。 - SignalWireは、この経路の悪用が実際に観測されたと明記しています。米CISAは2026年11月9日に実悪用カタログ（KEV）へ追加し、米連邦機関の対応期限を11月12日としました。フォレンジック・トリアージも必要とされています。 ## まず初めに 電話交換機に「チャットで命令書を渡せば、そのまま実行してくれる窓口」が付いていた。宛先の名前に命令の頭文字をくっつけるだけ、という芸の無さが逆に怖い。凝った暗号も、だましの手紙も要らない。郵便の宛名欄に「ついでに金庫を開けておいて」と書けば開いてしまう郵便局である。しかも修正版は8月に出ていたのに、危ないと大声で知らされたのは秋も深まってからだった。 ※個人の感想です ## 何が起きたのか SignalWireは、FreeSWITCHのセキュリティアドバイザリ「GHSA-mg63-h38w-8p9p」（2026年10月28日公開）で、CVE-2026-116779の詳細を公表しました。脆弱性の分類は、命令に混ぜる特殊な要素の無害化が不十分な問題（CWE-77／CWE-78）と、危険な機能の露出（CWE-749）です。深刻度はCVSS 9.8（Critical）とされています。 仕組みは、FreeSWITCHがSIP MESSAGE（電話網で短い文字メッセージを届ける仕組み）を受ける処理にあります。アドバイザリによると、受信処理は宛先の利用者名を「+」で分割し、前半を「どのチャット処理へ渡すか」の指定として扱います。ここで、通常のチャット配送とは別に、内部APIを実行する受け口まで選べてしまう状態になっていました。選ばれてしまえば、到達した相手は、サーバーへAPI命令を指定して実行させることができます。制限はかかっていなかった、というのがアドバイザリの説明です。 結果として、FreeSWITCHプロセスの権限で、任意のOS命令の実行、設定情報と認証情報の開示、通話の全面的な操作が可能になる、とされています。標準構成ではLuaの実行環境（mod_lua）も読み込まれており、そこが第二の到達点になり得る、とも書かれています。 ![SignalWireの発表内容（FreeSWITCHのSIP MESSAGE経由の命令実行）](/images/articles/signalwire-freeswitch-cve-2026-116779-sip-message-api-command-kev-inline-1.webp) ## 対象となる構成 対象バージョンは1.11.2以前、修正済みは1.11.3以降です。対象となる構成は「SIP MESSAGEの受信を受け付けるSIPプロファイル」で、これは初期状態の姿です。アドバイザリによると、チャット処理は、プロファイルに「enable-chat=false」が設定されていない限り有効で、標準の構成ファイル（conf/vanilla）では社内向け・外部向けの両プロファイルで有効なままになっています。特別な設定ミスは必要ありません。「普通に導入して、普通に電話を使っている」構成が、そのまま対象です。 | 項目 | 内容 | |---|---| | 脆弱性 | CVE-2026-116779（CWE-77／78／749） | | 深刻度 | CVSS 9.8（Critical） | | 対象 | FreeSWITCH 1.11.2以前（SIP MESSAGEを受け付けるプロファイル、初期状態で該当） | | 修正 | 1.11.3への更新 | | 回避策 | 不要なプロファイルで enable-chat=false を設定 | | 実悪用 | SignalWireが観測を明記。米CISAが2026年11月9日にKEV追加、期限11月12日 | ## 悪用の観測と、KEV入りの意味 通常の脆弱性公表と違うのは、SignalWire自身が「この経路の悪用は実際に観測されている（Exploitation of this path has been observed in the wild）」とアドバイザリに書いている点です。被害の件数や時期、攻撃者の素性は公表されていません。米CISAも2026年11月9日にKEVへ追加し、その説明では「設定情報と認証情報の開示、任意の通話操作、命令実行を許すコード注入」と要約しています。ランサムウェアへの利用は「不明」で、侵害の有無を切り分けるフォレンジック・トリアージが必要とされています。 時系列にも注意が要ります。二次情報（セキュリティ対策Lab）や各社の集計によると、修正版1.11.3自体は2026年8月に提供されていました。ところが、脆弱性として公に説明され、CVEが公開され、KEVに載るまでの流れは10月末から11月にかけてです。「更新通知は来ていたが、ただの版数上げに見えた」という導入先は少なくないはずです。同じ11月9日のKEV追加では、GPUStackの管理者回避も載っています（[GPUStackの脆弱性を解説した記事](https://itpostjp.com/security/gpustack-cve-2026-102895-loopback-admin-bypass-kev/)）。電話基盤は表に出にくい分だけ、棚卸しの網から漏れやすい領域です。 ## IT Postの見方 IT Postでは、この件の教訓は「チャット機能は、電話システムにとっては脇道ではなく、命令実行口と同じ住所に住んでいた」という点だと考えます。音声の本線ばかり守って、文字メッセージの小道を野放しにする。侵入者は、本線の門が固ければ小道を探す生き物です。そしてもう一つ、修正版が静かに出てから危険度の大看板が立つまでの時間差です。版数だけの更新と、悪用確認済みの更新を、同じ重さで流す仕組み自体が負けている。導入先は「自社が使っている電話基盤の版数と、enable-chatの設定」を、今すぐ台帳で確認すべきだと考えます。 ## 今後どうなりそうか 11月12日の期限（米連邦機関向け）を境に、未更新の電話基盤はスキャンと試行の対象として残ります。FreeSWITCHはコールセンターやホスティング型の電話サービス、通信事業者の基盤にも組み込まれているため、直接導入していなくても、利用中の電話サービスの内側で動いている場合があります。心当たりのある組織は、自社設備の更新に加え、委託先の電話サービスへも対応状況を確認するのが現実的です。 ## 情報源 「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。 - [FreeSWITCH: Inbound SIP MESSAGE can select the api chat proto and run FreeSWITCH API commands (GHSA-mg63-h38w-8p9p)](https://github.com/signalwire/freeswitch/security/advisories/GHSA-mg63-h38w-8p9p) — SignalWire（FreeSWITCH）（一次情報） - [Known Exploited Vulnerabilities Catalog: CVE-2026-116779 SignalWire FreeSwitch Vulnerability](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-116779) — 米サイバーセキュリティ・インフラセキュリティ庁（CISA）（一次情報） - [IBM Aspera Faspex・FreeSWITCHの重大脆弱性2件がサイバー攻撃に悪用 CISAがKEV登録、CVSS 9.8の認可回避・コマンド実行に緊急対応](https://rocket-boys.co.jp/security-measures-lab/ibm-aspera-faspex-freeswitch-cisa-kev-cve-2026-123218/) — セキュリティ対策Lab（株式会社ロックトボーイズ） ## この記事に出てくるIT用語 - [CVE（共通脆弱性識別子）](https://itpostjp.com/terms/cve-common-vulnerabilities-and-exposures/): 世界中で見つかったソフトウェアの脆弱性一つひとつに割り振られる、共通の番号のことです。 - [OSコマンドインジェクション](https://itpostjp.com/terms/os-command-injection/): 外部から送り込んだ文字列に紛れ込ませた命令で、サーバーのOS(基本ソフト)に不正なコマンドを実行させてしまう攻撃手法です。 - [リモートコード実行（RCE）](https://itpostjp.com/terms/remote-code-execution/): 攻撃者が、遠く離れた場所から対象のコンピューターやサーバーで、任意のプログラムを実行できてしまう状態を指します。 --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/signalwire-freeswitch-cve-2026-116779-sip-message-api-command-kev/