何が起きたか
FreeSWITCHのsofia_presence_handle_sip_i_message()は、着信SIP MESSAGEのToユーザーを'+'で分割し、左側をチャットプロトコルセレクタとして扱い、許可リストを適用しない。'api'を選択するとswitch_api_execute()に到達し、デーモンとしてOSコマンドを実行できる。野外での悪用が観察されており、2026年11月9日にCISA KEVに追加され、連邦政府の対応期限は2026年11月12日。
なぜ重要か
FreeSWITCHは、世界のVoIPの大部分を支えるオープンソースソフトスイッチであり、会話型AI音声エージェントやコンタクトセンターAIの電話基盤でもある。攻撃者は、AI音声エージェントが応答するまさにそのプラットフォーム上で、デーモンレベルのコマンド実行、SIP認証情報/トランクの開示、任意の通話制御（通話料詐欺、通話傍受）を取得する。これはAIデプロイメントに関連する音声レイヤーへの経路である。
攻撃経路
認証なし（または任意の登録アカウント）の着信SIP MESSAGEで、Toユーザーが'+'で分割されて'api'チャットプロトコルが選択されると、switch_api_execute()に到達し、ピアがFreeSWITCH APIコマンド（デーモンの権限でのOSコマンドシンクを含む）を実行できる — 設定/認証情報の開示、任意の通話制御、コマンド実行
影響を受けるシステム
SignalWire FreeSWITCH 1.11.3未満（標準の内部/外部プロファイルで着信SIP MESSAGEチャットパスが有効）
緩和策
FreeSWITCH 1.11.3にアップグレード（enable-chat-api-protoゲートが追加され、デフォルトでオフ、許可されないセレクタには403を返す）。MESSAGE認証を有効に保ち、デフォルトのディレクトリ認証情報を削除。着信チャットを使用しない場合はenable-chat=falseを設定。ポート5060を信頼できるピア/ACL/SBCに制限。FreeSWITCHをrootで実行しない（https://github.com/signalwire/freeswitch/security/advisories/GHSA-mg63-h38w-8p9p）