FreeSWITCH ช่องโหว่รันคำสั่ง CVE-2026-116779 ถูกโจมตีแล้ว
ผู้ดูแลระบบที่ใช้ FreeSWITCH รุ่นที่ได้รับผลกระทบควรเร่งอัปเดตเป็น 1.11.3 หรือใหม่กว่า เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- SIP MESSAGE ที่ระบบยอมรับอาจเปิดทางให้ผู้โจมตีเรียกคำสั่ง อ่านค่าคอนฟิกและข้อมูลรับรอง หรือควบคุมการโทรได้
- Who should read
- ผู้ดูแลระบบที่รัน FreeSWITCH ถึงรุ่น 1.11.2 โดยมี SIP profile ที่รับข้อความขาเข้า
- Fix in short
- อัปเดตเป็น FreeSWITCH 1.11.3 หรือใหม่กว่า และระหว่างรอให้ปิด SIP chat ในโปรไฟล์ที่ไม่จำเป็นต้องใช้งาน
พอดีอ่านระเบียน CVE-2026-116779 ของ SignalWire FreeSWITCH ที่อัปเดตวันที่ 9 พฤศจิกายน 2026 พบช่องโหว่ในระบบโทรศัพท์ผ่านเครือข่าย ข้อความ SIP MESSAGE ที่ระบบรับเข้ามาอาจถูกใช้สั่งงานบริการได้ ผู้พัฒนาระบุว่าพบการโจมตีจริงแล้ว ผู้ดูแล FreeSWITCH ถึงรุ่น 1.11.2 ควรเร่งอัปเดต (ระเบียน CVE)
ใครต้องทำอะไร
- ผู้ดูแลระบบ: หากใช้ FreeSWITCH ถึงรุ่น 1.11.2 ให้เร่งอัปเดตเป็น 1.11.3 หรือใหม่กว่า และปิดการรับ SIP chat ในโปรไฟล์ที่ไม่ใช้ระหว่างรอแพตช์
เกิดอะไรขึ้น
FreeSWITCH แยกชื่อผู้รับใน SIP MESSAGE ด้วยเครื่องหมาย + แล้วใช้ส่วนหนึ่งเลือกตัวจัดการแชต แต่ตัวเลือกนี้เข้าถึง api ที่เรียกคำสั่งของ FreeSWITCH ได้ด้วย ผู้ส่งข้อความที่ระบบยอมรับเลยเลือกคำสั่งให้บริการรันได้
ผู้โจมตีอาจอ่านค่าคอนฟิกและข้อมูลรับรอง ควบคุมสายโทรศัพท์ หรือรันคำสั่งระบบปฏิบัติการด้วยสิทธิ์ของโปรเซส FreeSWITCH ระเบียน CVE ให้คะแนน CVSS 3.1 ที่ 9.8 ระดับ Critical ผลกระทบเลยครอบคลุมทั้งข้อมูลลับและการทำงานของระบบโทรศัพท์ (รายละเอียดในระเบียน CVE)
ใครโดนและรุ่นที่แก้
| ผลิตภัณฑ์ | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้แล้ว |
|---|---|---|
| SignalWire FreeSWITCH | ถึง 1.11.2 | 1.11.3 หรือใหม่กว่า |
ขอบเขตคือ SIP profile ที่รับ MESSAGE ขาเข้า ค่าตั้งต้นเปิดแชตไว้ทั้งโปรไฟล์ internal และ external ถ้าโปรไฟล์บังคับยืนยันตัวตน บัญชีที่ใช้โปรไฟล์นั้นได้เพียงบัญชีเดียวก็เพียงพอ การติดตั้งที่ยังมีบัญชีตัวอย่างซึ่งไม่มีข้อมูลรหัสผ่านอาจเปิดทางให้โจมตีได้โดยไม่ต้องมีบัญชีของผู้โจมตีเอง (ประกาศผู้พัฒนา)
ช่องโหว่นี้ยังไม่อยู่ใน KEV ฉบับ 6 พฤศจิกายน 2026 จาก mirror ทางการของ CISA ส่วนข้อมูล CISA-ADP ในระเบียน CVE วันที่ 9 พฤศจิกายน 2026 ระบุ Exploitation: active และแนบลิงก์ KEV แหล่งข้อมูลที่เปิดได้เป็นคนละวันที่และแสดงรายการไม่ตรงกัน เลยไม่ระบุวันเพิ่มเข้า KEV หรือกำหนดแก้ของ CISA ในบทความนี้ การพบการโจมตีจริงมีหลักฐานจากประกาศผู้พัฒนาแยกต่างหาก
ต้องทำอะไร
ตรวจรุ่นและโปรไฟล์ที่รับข้อความ แล้วอัปเดตเป็น 1.11.3 หรือใหม่กว่าตามวิธีติดตั้งที่ใช้อยู่ ผู้พัฒนาแนะนำให้อัปเกรดโดยเร็วใน ประกาศรุ่น 1.11.3
ถ้ายังอัปเดตไม่ได้ ให้ตั้ง enable-chat=false ในทุกโปรไฟล์ที่ไม่ต้องใช้ SIP chat ตามคำแนะนำผู้พัฒนา ค่านี้หยุดข้อความก่อนถึงจุดเลือกตัวจัดการ แต่จะปิดแชตขาเข้าทั้งหมดของโปรไฟล์นั้นด้วย ต้องตรวจว่ามีงานใดใช้แชตอยู่ก่อนเปลี่ยนค่า
ผู้พัฒนาระบุว่าการบังคับยืนยันตัวตนข้อความหรือปิดเฉพาะ system API ยังปิดเส้นทางโจมตีไม่ครบ และ inbound ACL ไม่ครอบคลุม MESSAGE
รุ่นแก้เพิ่มตัวเลือก enable-chat-api-proto เพื่อควบคุมการเรียก api ผ่านข้อความ และปิดไว้เป็นค่าเริ่มต้น หลังอัปเดตควรตรวจว่าไม่ได้เปิดตัวเลือกนี้กลับโดยไม่จำเป็น
ส่วนตัวผมมองว่าเครื่องที่เข้าข่ายควรเร่งแพตช์ เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2026-116779 และ ประกาศ FreeSWITCH เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first