CVE-2026-116779 : FreeSWITCH SIP exploité activement, CISA KEV, CVSS 9.8

Les faits

La vulnérabilité CVE-2026-116779 touche FreeSWITCH, le serveur de communication open source utilisé par des millions d'infrastructures VoIP, de centres de contact, de plateformes de téléphonie cloud et d'opérateurs de télécommunications. La faille permet à un attaquant distant non authentifié d'exécuter du code arbitraire sur le serveur via l'envoi de messages SIP (Session Initiation Protocol) spécialement forgés. Le score CVSS 3.1 est de 9.8 sur 10, reflet d'un vecteur réseau sans authentification ni interaction utilisateur.

La CISA (Cybersecurity and Infrastructure Security Agency) a officiellement ajouté CVE-2026-116779 à son catalogue des vulnérabilités exploitées connues (KEV) le 9 novembre 2026. Cette inscription signifie que l'agence américaine dispose de preuves tangibles d'exploitation active dans la nature. Les agences fédérales américaines ont jusqu'au 30 novembre 2026 pour appliquer le patch, conformément à la directive BOD 22-01 — mais cette obligation de délai s'applique à toutes les organisations soucieuses de leur hygiène cyber.

SignalWire, l'entreprise qui maintient FreeSWITCH depuis son rachat en 2017, a publié le correctif dans la version 1.11.3. L'analyse technique publiée par BitSight Research décrit un défaut dans le parsing des en-têtes SIP INVITE : certaines combinaisons de valeurs de champs Contact et Via d'une longueur anormale déclenchent un buffer overflow dans le composant Sofia-SIP, bibliothèque utilisée par FreeSWITCH pour le traitement du protocole SIP. Ce buffer overflow est exploitable pour écraser des pointeurs de fonction et rediriger l'exécution vers du shellcode fourni par l'attaquant.

Le protocole SIP est fondamentalement non chiffré par défaut dans de nombreux déploiements legacy. Même avec TLS/SRTP activé, les messages SIP transitent par un composant de parsing qui s'avère vulnérable indépendamment du chiffrement de transport. Le port UDP 5060 (SIP standard) et le port TCP 5061 (SIP sécurisé) constituent des vecteurs d'attaque directs si l'équipement est exposé à des réseaux non maîtrisés.

FreeSWITCH est massivement déployé dans des environnements qui exposent des ports SIP sur Internet : opérateurs de téléphonie VoIP proposant des services grand public, fournisseurs de softphones B2B, plateformes de conférence audio, centres de contact externalisés. Ces déploiements en bordure de réseau constituent une surface d'attaque particulièrement large. D'après les données Shodan de novembre 2026, plus de 180 000 instances FreeSWITCH seraient directement accessibles depuis Internet.

Les premières traces d'exploitation ont été observées par des équipes de threat intelligence fin octobre 2026, soit plusieurs semaines avant la publication officielle du CVE. Des attaquants ont utilisé la faille pour déployer des cryptomineurs sur des serveurs FreeSWITCH compromise, mais aussi pour installer des backdoors persistantes dans des infrastructures de téléphonie d'entreprises du secteur financier en Europe. Ces incidents, initialement attribués à des problèmes de configuration, ont été reclassifiés en exploitation de CVE-2026-116779 après l'analyse forensique des artefacts laissés sur les systèmes.

Le secteur des télécommunications présente une particularité agravante : les serveurs FreeSWITCH ont souvent accès à des ressources sensibles par conception. Un compromis sur un serveur FreeSWITCH peut permettre l'écoute de communications téléphoniques, l'interception de codes OTP envoyés par SMS ou appel vocal, le détournement de numéros d'urgence vers des destinations malveillantes, ou encore l'utilisation de l'infrastructure comme relais pour des appels frauduleux (fraude au péage international, IRSF). Les conséquences dépassent donc largement le seul serveur compromis.

En France, FreeSWITCH est utilisé par de nombreux acteurs : opérateurs alternatifs, ESN spécialisées en communications unifiées, administrations ayant déployé des solutions de téléphonie IP open source. L'ANSSI n'a pas encore publié d'alerte dédiée à CVE-2026-116779 au moment de la rédaction, mais la gravité du vecteur et la confirmation CISA KEV justifient une réaction immédiate sans attendre un bulletin officiel français.

Impact et exposition

Toute organisation déployant FreeSWITCH en version antérieure à 1.11.3 avec le port SIP accessible depuis des réseaux non maîtrisés est directement exposée. La faille est particulièrement dangereuse pour les opérateurs VoIP, les centres de contact, les entreprises utilisant FreeSWITCH comme IPBX, et les plateformes UCaaS (Unified Communications as a Service) basées sur FreeSWITCH. Les environnements exposant leur SIP trunk directement sur Internet sans SBC (Session Border Controller) en frontal présentent le risque le plus élevé.

Recommandations

• Mettre à jour immédiatement vers FreeSWITCH 1.11.3 — disponible sur le dépôt officiel SignalWire
• En attendant le patch : filtrer au niveau firewall pour n'autoriser le port SIP (UDP/TCP 5060, TLS 5061) qu'aux sources légitimes (SIP trunks des opérateurs, softphones internes)
• Déployer un SBC (Session Border Controller) en frontal si ce n'est pas déjà le cas — il absorbe le trafic SIP avant de le transmettre à FreeSWITCH
• Vérifier la version déployée : fs_cli -x "version"
• Analyser les logs FreeSWITCH pour des requêtes SIP INVITE avec des en-têtes Contact ou Via de longueur anormale (> 512 octets)
• Vérifier l'intégrité des binaires FreeSWITCH si exploitation suspectée : comparer les hashs avec ceux de la version officielle