CVE-2026-116779CVSS 9.8入站 MESSAGE API 分发
MESSAGE 获接受的对端可使用 FreeSWITCH 进程权限执行命令。
FreeSWITCH 修复已遭利用的 SIP MESSAGE 命令执行漏洞
FreeSWITCH 确认 SIP MESSAGE 选择 API 命令接口的路径遭利用。受影响版本为 1.11.2 及更早，1.11.3 默认关闭该路径。即使启用认证，普通注册用户仍可能利用。
- 披露时间
- 2026年10月28日
- 公开披露日期
- 严重程度
- CVSS 9.8
- 本页收录 1 个 CVE
- 波及范围
- 接受入站 MESSAGE、加载 mod_dptools 的 SIP 配置；默认无密码用户可能使攻击无需已有账户
- FreeSWITCH · SIP · RCE
- 在野利用
- 已发现
- SignalWire 确认该命令执行路径遭利用。
发生了什么
mod_dptools 注册 API 聊天接口；入站聊天默认开启。若启用 MESSAGE 认证，一个普通配置账户即足够；默认无密码用户可能允许无账户访问。修复默认拒绝 API 选择器。公告未发布受害数量或静态指标。L4 依据已确认的利用情况。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| FreeSWITCH | 1.11.3 |
案发时间线
2026年10月28日
公告确认利用情况并公布修复版本
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。