# FreeSWITCH CVE-2026-116779 เข้า KEV: SIP MESSAGE เดียวสั่งรันคำสั่งได้

> FreeSWITCH CVE-2026-116779 CVSS 9.8 เข้า KEV 9 พ.ย. 2026 ถูกโจมตีจริง SIP MESSAGE รันคำสั่งได้ รุ่น 1.11.2 ลงไป แก้ใน 1.11.3 หรือปิด enable-chat

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-11-13T15:27:00.000Z · อัปเดต: 2026-11-13T15:27:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/freeswitch-cve-2026-116779-sip-message-kev/

## สรุปประเด็นสำคัญ

- CISA เพิ่ม **CVE-2026-116779** ของ SignalWire FreeSWITCH เข้า KEV เมื่อ **9 พฤศจิกายน 2026** กำหนดแก้ภายใน **12 พฤศจิกายน** ช่องโหว่เป็น code injection ที่เปิดเผยคอนฟิกกับรหัสผ่าน คุมการโทร และรันคำสั่งได้
- ประกาศ GHSA-mg63-h38w-8p9p ของผู้พัฒนาให้คะแนน **CVSS 9.8** ระดับ Critical กระทบ FreeSWITCH รุ่น **1.11.2 และก่อนหน้า** แก้ในรุ่น **1.11.3**
- ผู้โจมตีส่ง SIP MESSAGE ที่ชื่อผู้รับมี + เพื่อเลือก chat proto ชื่อ api แล้วให้เซิร์ฟเวอร์รันคำสั่ง API ของ FreeSWITCH ประกาศระบุว่า **มีการโจมตีจริงผ่านช่องทางนี้แล้ว**
- ค่าเริ่มต้นของโปรไฟล์ SIP รับ MESSAGE อยู่แล้ว ชุดคอนฟิก vanilla เปิดทั้ง internal และ external จึงกระทบโดยไม่ต้องตั้งค่าพิเศษ ทางลดความเสี่ยงคือ **enable-chat=false** ในโปรไฟล์ที่ไม่ใช้แชต
- รุ่นแก้เพิ่มพารามิเตอร์ **enable-chat-api-proto** ที่ปิดเป็นค่าเริ่มต้น เมื่อมี MESSAGE เลือก proto นี้โดยไม่เปิดไว้ ระบบตอบ **403** และบันทึกต้นทางกับคำสั่งที่ร้องขอ

FreeSWITCH CVE-2026-116779 คือช่องโหว่ CVSS 9.8 ในเซิร์ฟเวอร์โทรศัพท์ SIP โอเพนซอร์ส ซึ่ง CISA ใส่เข้า KEV เมื่อ 9 พฤศจิกายน 2026 เพราะถูกโจมตีจริง ผู้ส่ง SIP MESSAGE เพียงฉบับเดียวเข้าโปรไฟล์ที่รับแชตอาจสั่งรันคำสั่งบนเซิร์ฟเวอร์ได้ รุ่น 1.11.2 และก่อนหน้ากระทบ แก้ใน 1.11.3

![ภาพประกอบ: โทรศัพท์ IP ในสำนักงาน เป็นอุปกรณ์ปลายทางของระบบ SIP ไม่ใช่เซิร์ฟเวอร์ FreeSWITCH](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/freeswitch-cve-2026-116779-sip-message-kev/grandstream-ip-phone-office.webp?v=f0513346) _(ภาพ: Антон Пищулин / Wikimedia Commons (CC BY-SA 4.0))_

## FreeSWITCH CVE-2026-116779 ทำงานอย่างไร

ตามประกาศ GHSA-mg63-h38w-8p9p เรื่อง FreeSWITCH CVE-2026-116779 ซึ่งเผยแพร่เมื่อ 28 ตุลาคม 2026 ฟังก์ชัน sofia_presence_handle_sip_i_message() แยกชื่อผู้รับของ SIP MESSAGE ขาเข้าที่เครื่องหมาย + แล้วถือว่าครึ่งซ้ายเป็นชื่อ chat proto จากนั้นส่งข้อความไปยังอินเทอร์เฟซแชตที่ตรงชื่อ ซึ่ง mod_dptools ลงทะเบียนอินเทอร์เฟซชื่อ api ที่ส่งข้อความต่อไปยัง switch_api_execute() ผลคือผู้ที่ส่ง MESSAGE เข้าโปรไฟล์ได้ เลือกคำสั่ง API ที่เซิร์ฟเวอร์จะรันได้เอง และไม่มีข้อจำกัดว่าตัวเลือกต้องเป็น proto สำหรับส่งข้อความเท่านั้น

ผลกระทบของ FreeSWITCH CVE-2026-116779 ตามประกาศคือรันคำสั่งด้วยสิทธิ์ของโปรเซส FreeSWITCH ได้ ทั้งคำสั่งระบบปฏิบัติการ การเปิดเผยคอนฟิกและรหัสผ่าน และการคุมการโทร หากโหลด mod_lua ซึ่งเป็นค่าตั้งต้นของชุดคอนฟิกมาตรฐาน จะมีเส้นทางที่สองคือรัน Lua แบบเต็มไลบรารี ประกาศระบุว่าเห็นการโจมตีผ่านเส้นทางนี้ในโลกจริงแล้ว

![หน้าประกาศ GHSA-mg63-h38w-8p9p ของ FreeSWITCH เรื่อง SIP MESSAGE ที่เลือก api chat proto และรันคำสั่ง API](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/freeswitch-cve-2026-116779-sip-message-kev/freeswitch-ghsa-mg63-page.webp?v=9c857473) _(ภาพ: SignalWire FreeSWITCH / GitHub (ภาพหน้าจอ))_

## รุ่นที่กระทบและเงื่อนไขของ FreeSWITCH CVE-2026-116779

| หัวข้อ | ข้อมูลตามประกาศ |
| --- | --- |
| รุ่นที่กระทบ | FreeSWITCH 1.11.2 และก่อนหน้า |
| รุ่นที่แก้ | 1.11.3 ขึ้นไป |
| คะแนน | CVSS 9.8 Critical (AV:N, AC:L, PR:N, UI:N) |
| โปรไฟล์ที่กระทบ | โปรไฟล์ SIP ที่รับ MESSAGE ขาเข้า ซึ่งเป็นค่าเริ่มต้น |
| ผู้รายงาน | Örn Arnarson และ Gunnlaugur |

ประกาศ FreeSWITCH CVE-2026-116779 อธิบายว่าการรับ MESSAGE เปิดอยู่เป็นค่าเริ่มต้น ชุดคอนฟิก conf/vanilla เปิดทั้งโปรไฟล์ internal และ external ส่วน ACL ขาเข้าไม่ครอบคลุม MESSAGE การเข้มงวด ACL จึงไม่ช่วยให้โปรไฟล์พ้นจากช่องโหว่นี้ เงื่อนไขของผู้โจมตีคือต้องส่ง MESSAGE ให้โปรไฟล์ยอมรับได้หนึ่งฉบับ หากเปิดการยืนยันตัวตนของ MESSAGE ผู้โจมตีต้องมีบัญชีบนโปรไฟล์นั้นหนึ่งบัญชี เช่น เบอร์ต่อภายใน เครื่องโทรศัพท์ หรือ trunk peer และถ้าคอนฟิกยังมีไฟล์ conf/vanilla/directory/default/default.xml ซึ่งนิยามผู้ใช้ default ที่ไม่มีรหัสผ่าน ผู้โจมตีไม่ต้องมีบัญชีเลย เว้นแต่ตั้ง allow-empty-password เป็น false

## สิ่งที่องค์กรไทยควรทำกับ FreeSWITCH CVE-2026-116779

1. **อัปเกรดเป็น FreeSWITCH 1.11.3 ขึ้นไป** เพื่อปิด FreeSWITCH CVE-2026-116779 รุ่นแก้เพิ่มพารามิเตอร์ enable-chat-api-proto ต่อโปรไฟล์ ซึ่งปิดเป็นค่าเริ่มต้น ถ้ามี MESSAGE พยายามเลือก proto api โดยไม่ได้เปิดไว้ ระบบตอบ 403 และบันทึกต้นทางกับคำสั่งที่ร้องขอ
2. **ตั้ง enable-chat=false** ในทุกโปรไฟล์ที่ไม่ต้องรับแชต SIP ขาเข้า วิธีนี้หยุดข้อความก่อนที่ระบบจะอ่านตัวเลือก proto แต่ปิดการรับแชตขาเข้าทั้งหมดของโปรไฟล์นั้น
3. **ลบผู้ใช้ที่ไม่มีรหัสผ่าน** ในไดเรกทอรี ชุด vanilla มีสองรายการ คือ default และตัวอย่าง Skinny
4. **อย่าพึ่ง auth-messages อย่างเดียว** ประกาศบอกว่าเปิดเป็นค่าเริ่มต้นตั้งแต่รุ่น 1.10.7 และเมื่อรวมกับการลบผู้ใช้ไม่มีรหัสผ่านจะลดเหลือการรันคำสั่งแบบต้องยืนยันตัวตน แต่ไม่ปิดเส้นทางนี้
5. **disable_system_api_commands=true** ปิดคำสั่ง system แต่ไม่ปิดเส้นทางนี้ ซึ่งยังเข้าถึง API อื่น รวมถึงการโหลดโมดูลและการโทรออก

![ภาพประกอบ: โทรศัพท์ IP รุ่นหนึ่งที่ใช้กับระบบ SIP](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/freeswitch-cve-2026-116779-sip-message-kev/grandstream-ip-phone.webp?v=06c7c7d8) _(ภาพ: Антон Пищулин / Wikimedia Commons (CC BY-SA 4.0))_

## ข้อมูลจาก CISA และสิ่งที่ควรตรวจย้อนหลัง

รายการ KEV ของ CISA ระบุว่า FreeSWITCH CVE-2026-116779 เป็นช่องโหว่ code injection ที่เปิดเผยคอนฟิกและรหัสผ่าน คุมการโทรได้ และรันคำสั่งได้ โดยให้ปฏิบัติตามคำสั่ง BOD 26-04 และข้อกำหนด Forensics Triage ซึ่งหมายความว่าองค์กรที่ใช้ควรตรวจร่องรอยย้อนหลังด้วย ไม่ใช่แค่อัปเดต สำหรับ FreeSWITCH CVE-2026-116779 ข้อมูลที่ควรเทียบกับล็อกคือ SIP MESSAGE ที่ชื่อผู้รับมีเครื่องหมาย + ตามด้วย api และการรันคำสั่งหรือโหลดโมดูลที่ไม่ได้มาจากผู้ดูแล ส่วนข่าวช่องโหว่ใน KEV อื่นอ่านได้ที่[รายการ KEV ที่ครบกำหนดแก้ 10-20 พ.ย.](/security/cisa-kev-deadlines-10-20-nov-2026-bod-26-04/) และ[หมวด Security](/security/)

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

เซิร์ฟเวอร์โทรศัพท์ที่เปิดรับ SIP จากอินเทอร์เน็ตอย่าง FreeSWITCH ซึ่งเป็นต้นเรื่องของ FreeSWITCH CVE-2026-116779 ต้องมีคนติดตามประกาศและอัปเดตต่อเนื่อง [Managed Cloud Services](https://msp.thaidata.cloud/services/managed-cloud-services/) ของ THAI DATA CLOUD ดูแลตั้งแต่ติดตั้ง บริหาร ไปจนถึง Monitoring ระบบคลาวด์ขององค์กรตลอด 24 ชั่วโมง (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

## คำถามที่พบบ่อย

### FreeSWITCH CVE-2026-116779 คืออะไร?

FreeSWITCH CVE-2026-116779 คือช่องโหว่ code injection ใน FreeSWITCH ที่ CISA ใส่ใน KEV เมื่อ 9 พ.ย. 2026 ผู้ที่ส่ง SIP MESSAGE เข้าโปรไฟล์ที่รับแชตได้อาจเลือกคำสั่ง API ให้เซิร์ฟเวอร์รัน ผลคือรันคำสั่งระบบ เปิดเผยคอนฟิกและรหัสผ่าน และคุมการโทรได้

### FreeSWITCH รุ่นไหนได้รับผลกระทบ?

ประกาศ GHSA-mg63-h38w-8p9p ระบุว่ากระทบรุ่น 1.11.2 และก่อนหน้า และแก้แล้วในรุ่น 1.11.3 ขึ้นไป

### ถ้ายังอัปเดตไม่ได้ ควรทำอย่างไร?

ผู้พัฒนาแนะนำให้ตั้ง enable-chat=false ในทุกโปรไฟล์ที่ไม่ต้องรับแชต SIP เข้า การเปิด auth-messages อย่างเดียวไม่พอ และการตั้ง disable_system_api_commands=true ไม่ปิดเส้นทางนี้ทั้งหมด

### ช่องโหว่ FreeSWITCH นี้ถูกโจมตีจริงหรือไม่?

ใช่ ประกาศของผู้พัฒนาระบุว่าเห็นการโจมตีผ่านเส้นทางนี้ในโลกจริง และ CISA จัดอยู่ในรายการช่องโหว่ที่ถูกโจมตีจริง (KEV)


## แหล่งอ้างอิง

- [Inbound SIP MESSAGE can select the api chat proto and run FreeSWITCH API commands (GHSA-mg63-h38w-8p9p)](https://github.com/signalwire/freeswitch/security/advisories/GHSA-mg63-h38w-8p9p) — SignalWire FreeSWITCH
- [Known Exploited Vulnerabilities Catalog](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA