FreeSWITCH: un solo mensaje SIP basta para ejecutar comandos en el servidor, y el fallo se está explotando

Vigilancia cibernética de Top-Secured: análisis independiente basado en las fuentes citadas más abajo. Top-Secured no está afiliado a las empresas mencionadas y nunca le pedirá sus datos bancarios ni sus contraseñas.

Un fallo de FreeSWITCH, el servidor de telefonía de código abierto, permite que una petición SIP MESSAGE ejecute comandos en la máquina, incluso con la configuración por defecto. Los responsables del proyecto informan de explotación y la CISA incluyó la CVE-2026-116779 en su catálogo de vulnerabilidades explotadas el 9 de noviembre de 2026; la versión 1.11.3 lo corrige.

Qué ha pasado

Los responsables de FreeSWITCH publicaron el 28 de octubre de 2026 un aviso de seguridad sobre la CVE-2026-116779, un fallo de este servidor de telefonía de código abierto que mueve centralitas IP, centros de llamadas y pasarelas SIP. El aviso le da una puntuación de 9,8 sobre 10 e indica que se ha observado explotación. El 9 de noviembre, la agencia estadounidense CISA la añadió a su catálogo de vulnerabilidades explotadas activamente: las agencias federales tienen hasta el 12 de noviembre para actuar y deben hacer una comprobación forense.

Cómo entran los atacantes

Cuando FreeSWITCH recibe un SIP MESSAGE, la petición de mensajería instantánea del protocolo SIP, lee el nombre del destinatario para elegir el módulo de chat que lo entrega. Uno de esos módulos, llamado api, pasa su contenido directamente al intérprete de comandos de FreeSWITCH. El atacante elige así un comando y lo ejecuta con los permisos del proceso FreeSWITCH: comandos del sistema, lectura de la configuración y de las contraseñas, realización de llamadas. Si el módulo Lua está cargado, como en la configuración de serie, también puede ejecutar código Lua arbitrario.

La configuración por defecto está expuesta: el chat está activo en los perfiles internal y external, y la ACL de entrada no filtra estos mensajes. Si se exige autenticación de mensajes, basta una cuenta SIP, como un teléfono o un troncal. Los servidores que conservan el usuario de ejemplo default, sin contraseña, no necesitan ninguna.

Están afectadas todas las versiones hasta la 1.11.2. La 1.11.3 añade el parámetro enable-chat-api-proto, desactivado por defecto: esos mensajes se rechazan con un 403 y se registran.

Qué hacer ahora

1. Compruebe la versión con fs_cli -x version y actualice a la 1.11.3 o posterior.
2. Mientras tanto, ponga enable-chat en false en cada perfil SIP que no necesite chat entrante. La autenticación de mensajes o disable_system_api_commands reducen el riesgo, pero no cierran la brecha.
3. Elimine los usuarios sin contraseña del directorio: la configuración vanilla incluye dos, default y el ejemplo Skinny.
4. Busque rastros: peticiones SIP MESSAGE cuyo destinatario empiece por api+ en registros o capturas, procesos desconocidos lanzados por el usuario freeswitch, archivos modificados recientemente. Ante la duda, cambie las contraseñas SIP y de los troncales.
5. Limite los puertos SIP a su operador y a sus sedes en lugar de a todo Internet.

Nuestra opinión

Un servidor de telefonía es un servidor como cualquier otro, a menudo instalado una vez y luego olvidado. Inclúyalo en su inventario y en su ciclo de parches, y elimine cuentas de ejemplo y funciones que no use: aquí bastó una función de chat que nadie necesitaba para entregar la máquina.

Fuentes

• FreeSWITCH (GitHub) — Inbound SIP MESSAGE can select the api chat proto and run FreeSWITCH API commands (GHSA-mg63-h38w-8p9p)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-116779 (SignalWire FreeSWITCH)

Cómo elegimos, verificamos y redactamos nuestros análisis →