CVE-2026-116779: inyección de código en SignalWire FreeSwitch

CVE-2026-116779: inyección de código en SignalWire FreeSwitch, explotada activamente

CISA incorporó el 9 de noviembre de 2026 al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) la vulnerabilidad CVE-2026-116779, una inyección de código en SignalWire FreeSwitch. NVD le asigna un puntaje CVSS 9.8 (crítico). Su inclusión en KEV confirma que existe explotación activa en entornos reales. Por ahora no hay información sobre uso en campañas de ransomware (Unknown).

Análisis técnico

Según CISA, la falla permite divulgación de configuración y credenciales, control arbitrario de llamadas y ejecución de comandos. Las debilidades asociadas son:

CWE-77: neutralización incorrecta de elementos especiales en comandos.
CWE-78: inyección de comandos del sistema operativo.
CWE-749: exposición de método o función peligrosa.

Vector de ataque

El patrón de CWE y la descripción de CISA indican que una entrada controlada por el atacante llega a una función o interfaz de control que la procesa como código o comando. FreeSwitch es una plataforma de telefonía y comunicaciones, por lo que una interfaz de control expuesta a la red es el escenario de mayor riesgo. El detalle exacto del vector está en el aviso del fabricante; revísalo para confirmar condiciones de explotación.

Impacto operacional y de seguridad

Exposición de secretos: configuración y credenciales (troncales SIP, cuentas, claves).
Control de llamadas: originar, desviar o interceptar llamadas; fraude de tarifas (toll fraud).
Ejecución de comandos: compromiso del host, persistencia y movimiento lateral.

Productos afectados

SignalWire FreeSwitch. CISA advierte que afecta a un componente de código abierto que puede estar embebido en otros productos, por lo que también deben revisarse PBX, plataformas VoIP y soluciones de terceros basadas en FreeSwitch. Las versiones afectadas y corregidas constan en el aviso GHSA-mg63-h38w-8p9p.

Recomendaciones y mitigación

Acciones inmediatas recomendadas

Aplicar las mitigaciones y parches indicados por el fabricante.
Inventariar instancias de FreeSwitch, incluidas las embebidas en productos de terceros, y evaluar su exposición a Internet.
Restringir el acceso a interfaces de control y administración (firewall, VPN, listas de acceso).
Rotar credenciales y secretos presentes en la configuración si hubo exposición.
Revisar registros en busca de comandos inesperados, llamadas anómalas y procesos hijos del servicio.
Realizar el triaje forense que exige CISA antes y después de mitigar.

Las agencias FCEB tienen plazo hasta el 12 de noviembre de 2026, conforme a la directiva BOD 26-04. Si no hay mitigaciones disponibles, CISA indica discontinuar el uso del producto.

CVE-2026-116779: inyección de código en SignalWire FreeSwitch