FreeSWITCH: inyección de código crítica CVE-2026-116779

Qué es y a quién afectaSignalWire FreeSWITCH es una pila de telefonía definida por software que muchas empresas usan para montar centralitas, pasarela...

Qué es y a quién afecta

SignalWire FreeSWITCH es una pila de telefonía definida por software que muchas empresas usan para montar centralitas, pasarelas SIP y sistemas de voz sobre IP sobre servidores estándar. El fallo identificado como CVE-2026-116779 es una vulnerabilidad de inyección de código que, según el aviso del fabricante, permite revelar configuración y credenciales, controlar llamadas de forma arbitraria y ejecutar comandos en el sistema.

El problema afecta a todas las versiones de FreeSWITCH anteriores a la 1.11.3. La NVD del NIST le asigna una gravedad CVSS 3.1 de 9.8 (CRITICAL), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, y la publicó el 5 de noviembre de 2026. Se clasifica como CWE-77, CWE-78 y CWE-749.

La raíz técnica está en la función sofia_presence_handle_sip_i_message(): al procesar el usuario del campo To de un mensaje SIP entrante, lo dividía por el signo más y trataba la parte izquierda como selector de protocolo de chat. Eligiendo el protocolo de API se llegaba a la ejecución de comandos de la API de FreeSWITCH con los privilegios del demonio. El chat entrante viene activado en los perfiles internos y externos de serie, y basta una cuenta de perfil autenticada; en ciertas configuraciones, usuarios de directorio sin contraseña también eliminaban esa barrera.

Esto afecta a cualquier organización que exponga un FreeSWITCH a internet: operadores, empresas con centralita propia, proveedores de servicios de voz y, en general, pymes y comercios online que hayan montado su telefonía sobre este producto, aquí en Lleida, Barcelona, Tarragona, Girona o en cualquier punto de España.

Por qué es urgente: ya se explota en ataques reales

No estamos ante un fallo teórico. CISA añadió CVE-2026-116779 a su catálogo KEV (Known Exploited Vulnerabilities) el 9 de noviembre de 2026, lo que confirma que se ha observado explotación en el mundo real. El propio aviso de la NVD lo recoge: la explotación se ha visto en entornos reales.

CISA fijó a las agencias federales de EE. UU. un plazo de corrección hasta el 12 de noviembre de 2026, apenas tres días después de la inclusión. La acción exigida es aplicar las mitigaciones siguiendo las instrucciones del fabricante, conforme a la directiva BOD 26-04 sobre priorización de actualizaciones según riesgo, y a los requisitos de triaje forense. En servicios en la nube, esa misma directiva aplica; si no hay mitigación disponible, la recomendación es dejar de usar el producto. En el material no consta uso en campañas de ransomware, pero eso no rebaja la urgencia: la ejecución remota de comandos con privilegios del demonio es un punto de entrada de primer nivel.

Qué hacer hoy

Inventario: comprueba si en tu infraestructura hay algún FreeSWITCH desplegado, quién lo mantiene y en qué versión está. Cualquier versión anterior a la 1.11.3 está afectada.
Actualización: el fallo se corrige en la versión 1.11.3. Aplica la actualización o la mitigación que indique el aviso de seguridad del fabricante (GHSA-mg63-h38w-8p9p) y las notas de la release v1.11.3. No improvises parches propios.
Revisión de indicios: busca ejecuciones de comandos de API no previstas, llamadas o cambios de configuración extraños, accesos con cuentas de perfil que no deberían usarse y posibles fugas de credenciales. Si sospechas compromiso, rota credenciales y claves SIP.
Reducir exposición: limita el acceso a los puertos SIP y a la API a las redes que realmente lo necesiten, desactiva el chat entrante si no lo usas y revisa las cuentas de directorio sin contraseña. Cuanto menos vea internet, menos superficie habrá para explotar.

Conviene tratar esta corrección como prioridad máxima dentro del plan de parches: no es una actualización rutinaria de mantenimiento, sino el cierre de una puerta que ya se está probando en ataques reales.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y equipos de IT pequeños que no pueden dedicar a esto todo el tiempo que exige. Empezamos por saber qué tienes: auditorías de seguridad y pentesting para localizar vulnerabilidades como esta antes de que las exploten, inventario de servicios expuestos a internet y revisión de configuraciones.

A partir de ahí, endurecemos lo que haga falta (hardening de servidores, ajustes de perfiles SIP y control de accesos), aplicamos los parches de seguridad de los productos que usas —WordPress, PrestaShop, Joomla o el software de telefonía— y dejamos monitorización para detectar actividad sospechosa y responder a incidentes con rapidez. Si el servidor ya ha sido comprometido, nos encargamos también de la reparación de webs hackeadas y de la limpieza y el refuerzo posterior.

La clave con CVE-2026-116779 es la misma que con cualquier fallo crítico: saber si te afecta, cerrarlo con la indicación del fabricante y comprobar que nadie ha entrado antes. Todo ello con la vista puesta en el RGPD y la LOPDGDD, porque una brecha en un sistema de voz puede exponer datos de clientes y conversaciones.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.