CVE-2026-116779 : FreeSWITCH RCE CVSS 9.8 — CISA KEV

Les faits

Le 9 novembre 2026, la CISA a ajouté CVE-2026-116779 à son catalogue des vulnérabilités exploitées connues (Known Exploited Vulnerabilities, KEV), avec une deadline de remédiation fixée au 12 novembre 2026 pour les agences civiles fédérales américaines. Cette fenêtre de seulement 72 heures entre l'ajout au KEV et l'échéance est exceptionnellement courte et reflète la gravité immédiate de la menace.

CVE-2026-116779 est une vulnérabilité d'injection de commande (CWE-78) dans SignalWire FreeSWITCH, le serveur de communication open source largement déployé dans les infrastructures VoIP, les centres d'appels, les passerelles SIP et les plateformes UCaaS. FreeSWITCH est utilisé par des opérateurs télécom, des entreprises gérant leur propre PBX IP, des intégrateurs de solutions de visioconférence et de nombreux fournisseurs de services de communication dans le cloud.

La faille réside dans la fonction sofia_presence_handle_sip_i_message(), qui traite les messages SIP de type MESSAGE entrants via le module Sofia-SIP. Le vecteur d'attaque est particulièrement alarmant : un attaquant non authentifié peut envoyer un message SIP spécialement forgé contenant des caractères de contrôle dans le champ utilisateur (user field). FreeSWITCH découpe ce champ sur le signe plus (+) sans validation suffisante et transmet les fragments à l'API interne de chat du système, permettant l'exécution arbitraire de commandes FreeSWITCH API avec les privilèges du processus serveur.

Le score CVSS 3.1 est de 9.8 (Critical), avec un vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. L'accessibilité réseau sans authentification (PR:N), l'absence d'interaction utilisateur requise (UI:N) et la complexité d'attaque minimale (AC:L) en font une vulnérabilité particulièrement dangereuse. Certaines sources secondaires, dont VulDB (référence 431640), rapportent un score CVSS 4.0 de 10.0. Les plateformes FreeSWITCH s'exécutant typiquement avec des droits élevés sur les systèmes Linux, l'injection de commande se traduit concrètement en Remote Code Execution (RCE) sur le système hôte.

L'advisory officiel de SignalWire, publié sous la référence GHSA-mg63-h38w-8p9p le 28 octobre 2026, confirme que la vulnérabilité a été exploitée in-the-wild. Le délai entre la publication du correctif (FreeSWITCH 1.11.3) et l'ajout au catalogue CISA KEV s'est écoulé en moins de deux semaines, confirmant que des acteurs malveillants ont rapidement développé des exploits fonctionnels. Le type de faille — injection via un champ SIP non sanitisé — est caractéristique des vulnérabilités régulièrement découvertes dans les stacks VoIP et rappelle plusieurs vecteurs d'attaque documentés dans Asterisk et d'autres serveurs de communication ces dernières années.

La surface d'attaque est large : toute instance FreeSWITCH exposée sur internet ou accessible depuis un réseau non maîtrisé est potentiellement compromise. FreeSWITCH écoute par défaut sur le port 5060 (SIP/UDP et SIP/TCP), ainsi que sur le port 5061 (SIP/TLS) et les plages de ports RTP. Les instances cloud, les déploiements SaaS et les serveurs de téléphonie directement accessibles constituent la priorité absolue. La faille est présente dans toutes les versions de FreeSWITCH antérieures à 1.11.3, sans exception de version ou de configuration selon les données d'OpenCVE et VulDB.

SignalWire n'a pas publié d'indicateurs de compromission (IoC) spécifiques au moment de la rédaction de cet article. Les analyses de Rescana et d'OstorlabCo indiquent qu'un attaquant exploitant CVE-2026-116779 peut exécuter des commandes FreeSWITCH API en injectant des directives dans le champ utilisateur du message SIP. Ces commandes API permettent notamment de lancer des appels arbitraires (fraude téléphonique, toll fraud), de modifier la configuration du serveur, d'accéder aux enregistrements d'appels, d'exfiltrer des données de configuration SIP et d'utiliser le serveur compromis comme point d'entrée dans le réseau interne de l'organisation victime.

Du point de vue de la chronologie, la faille a été publiquement documentée fin octobre 2026 lors de la publication de l'advisory SignalWire (GHSA-mg63-h38w-8p9p). L'exploitation in-the-wild a été confirmée rapidement, forçant la CISA à réagir avec une entrée KEV et un délai de remédiation inhabitiuellement court. Les organisations utilisant FreeSWITCH en production doivent considérer toute instance non patchée comme potentiellement compromise et procéder à une analyse forensique après la mise à jour.

Impact et exposition

Toute organisation déployant FreeSWITCH dans une version antérieure à 1.11.3 est exposée. Les instances directement accessibles depuis internet sont en premier lieu concernées, mais les déploiements derrière un pare-feu restent vulnérables si un attaquant peut envoyer un message SIP crafté via un réseau interne ou un partenaire compromis. Les opérateurs télécom, les fournisseurs de services UCaaS, les call centers, les entreprises gérant leur propre infrastructure VoIP et les intégrateurs de solutions de communication constituent la population principalement touchée.

Les conditions d'exploitation sont minimales : aucune authentification n'est requise, et l'envoi d'un seul message SIP suffit à déclencher l'exécution de commandes. L'attaquant doit uniquement pouvoir joindre le port SIP du serveur cible. L'impact inclut la compromission totale du serveur FreeSWITCH, le détournement des flux de communication VoIP, l'écoute clandestine des appels en transit, la fraude téléphonique à grande échelle et l'utilisation du serveur comme pivot pour accéder au réseau interne de l'organisation.

Les acteurs spécialisés dans la fraude téléphonique (SIP fraud, toll fraud) ont un intérêt direct à compromettre des serveurs FreeSWITCH pour acheminer des appels frauduleux aux frais des victimes. Les groupes APT peuvent également cibler FreeSWITCH pour intercepter des communications confidentielles dans des secteurs sensibles (gouvernement, santé, finance). L'exploitation active confirmée suggère que des outils automatisés de scan et d'exploitation ciblant les instances FreeSWITCH exposées sont déjà en circulation dans les milieux cybercriminels.

Recommandations immédiates

• Mettre à jour FreeSWITCH vers la version 1.11.3 ou ultérieure — advisory : SignalWire Security Advisory GHSA-mg63-h38w-8p9p (28 octobre 2026)
• Si la mise à jour immédiate est impossible : restreindre l'accès aux ports SIP (5060/UDP, 5060/TCP, 5061/TLS) via des règles de pare-feu strictes, n'autorisant que les IPs de confiance
• Vérifier l'intégrité du système FreeSWITCH après la mise à jour : fichiers de configuration, scripts Lua/JavaScript chargés, processus lancés depuis le démon freeswitch
• Activer les logs SIP détaillés et surveiller les messages SIP avec des caractères inhabituels dans les champs utilisateur (présence de +, pipes, guillemets ou séquences de commande)
• Surveiller les connexions sortantes anormales depuis le serveur FreeSWITCH : signaux d'exploitation incluent des connexions vers des IPs inconnues et des appels vers des numéros premium internationaux