CVE-2026-116779 : SignalWire FreeSwitch exploité activement
La faille CVE-2026-116779, qui touche SignalWire FreeSwitch, est désormais listée dans le catalogue des vulnérabilités activement exploitées par CISA. Ce défaut d’injection de code permet, selon les données techniques, la divulgation de configurations et d’identifiants, mais aussi le contrôle arbitraire des appels et l’exécution de commandes au niveau du démon, avec les privilèges de celui-ci.
Le problème se situe dans la fonction sofia_presence_handle_sip_i_message() avant la version 1.11.3. En manipulant un message SIP entrant, un pair authentifié peut atteindre switch_api_execute(), lui permettant d’exécuter des commandes système. Cette vulnérabilité est classée comme critique, affichant un score CVSS de 9,8.
Ce qui est touché et la gravité réelle
SignalWire FreeSwitch est un ensemble de télécommunications défini par logiciel, utilisé pour la transformation numérique des systèmes téléphoniques propriétaires. Bien que CISA KEV n’indique pas d’utilisation par des rançongiciels, la capacité d’exécuter des commandes avec les privilèges du démon signifie que, une fois l’accès obtenu, l’attaquant peut agir librement sur l’instance compromise.
CISA ordonne aux agences fédérales américaines de corriger cette faille au plus tard le 12 novembre 2026. Pour les autres entités, le message est clair : l’exploitation est observée dans la nature.
Les obligations des équipes techniques
Les responsables des systèmes doivent évaluer l’exposition de chaque actif sur Internet. Si les correctifs du fournisseur ne sont pas disponibles, il faut suivre les directives de CISA BOD 26-04. Cette directive impose de trouver des mesures d’atténuation ou, à défaut, de cesser l’utilisation du produit. Il ne suffit pas de lire le bulletin ; il faut agir sur l’infrastructure.
Cette alerte arrive dans un contexte où CISA surveille de près les failles critiques. Par exemple, elle a récemment inclus CVE-2026-119977, une faille de type TOCTOU dans WordPress, signalant que les acteurs malveillants scannent activement des vecteurs d’attaque spécifiques durant les mises à jour.
Que faire maintenant
La seule voie sûre, selon les instructions du fournisseur, est d’appliquer les mesures de mitigation prescrites, ce qui signifie mettre à jour FreeSwitch à la version 1.11.3 ou ultérieure. Si l’organisation utilise des services cloud basés sur ce logiciel, elle doit s’assurer que son fournisseur respecte les orientations de CISA concernant la priorisation des mises à jour en fonction du risque.
Il faut surveiller attentivement si d’autres acteurs, au-delà des agences fédérales, commencent à faire pression sur les délais de remédiation, car l’exploitation active transforme une alerte théorique en incident opérationnel immédiat.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-116779 | — | Critique (CVSS 9,8) | Non signalée | Voir l’avis de l’éditeur |
Données : NVD (NIST).
Sources
- CISA Adds One Known Exploited Vulnerability to Catalog, CISA, 3 novembre 2026
- U.S. CISA adds WordPress flaw to its Known Exploited Vulnerabilities catalog, Security Affairs, 4 novembre 2026
- CVE-2026-116779, NVD (NIST)
Crédits photo
- Image en une : EFTA00002627 – Cluttered server rack filled with tangled cables and networking equipment in a…, par Federal Bureau of Investigation, Public domain, via Wikimedia Commons (recadrée)
- Image dans l’article : EFTA00002633 – Cluttered server rack filled with colorful cables and electronic equipment in a…, par Federal Bureau of Investigation, Public domain, via Wikimedia Commons (recadrée)
