一条 SIP 消息接管整台交换机：FreeSWITCH 9.8 分漏洞的处置顺序

FreeSWITCH 曝出 CVSS 9.8 的 SIP MESSAGE 命令执行漏洞 CVE-2026-116779。攻击者通过聊天协议名 api 直接执行任意 API 命令，默认配置即受影响，厂商确认已在野利用。

时间线本身就是教训

修复版本 v1.11.3 在 8 月 28 日就发布了，通告却晚了 61 天，直到 10 月 26 至 28 日才集中发布。这两个月里没升级的存量服务器一直裸奔。

v1.11.3 的发布说明里只有一行不起眼的记录：给 api 聊天协议加一道门禁。没有任何解释说明这道门禁防的是什么。对运维来说，这种“看起来像小改动”的发布说明最危险——跳过它是常态。

受影响的判断方法

全部 1.11.2 及以下版本受影响，只要 profile 没显式关闭聊天处理，默认配置就中招。国内大量呼叫中心、语音机器人、AI 外呼平台基于 FreeSWITCH 自建，这个面比想象中大。

自查：确认版本，再看 SIP profile 配置里 chat 相关处理是否开启。开着就是暴露面。

处置顺序

第一，立刻升级到 1.11.3 或更高。新版默认拒绝 api 聊天协议并返回 403。这是唯一根治手段。

第二，如果短时间升不了，把 SIP MESSAGE 的处理在边界上关掉，或者用防火墙拦掉外部到 5060 的 MESSAGE 方法。这是关门，不是拆通道——攻击者换一个协议名可能还能进来。

第三，清理默认配置里的无密码用户。vanilla 配置里残留的测试账号是长期隐患，配合这个漏洞等于把门钥匙挂在门口。

第四，查日志。SIP MESSAGE 里出现异常的收件人用户名、以及 API 命令执行痕迹，是入侵信号。查的时间范围要覆盖到 8 月之前。

一条通用经验

开源项目的安全修复经常混在普通发布里，release notes 写得含糊。订阅安全通告渠道、对涉及认证与协议处理的改动保持敏感，比事后追查便宜得多。

本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。

修复发布61天后才通告，这两个月没升级的存量服务器一直裸奔。v1.11.3的发布说明里只有一行加门禁的记录，没有任何解释，这种看起来像小改动的发布说明最容易被跳过。处置顺序应该是先升级，短期升不了就在边界拦掉MESSAGE方法，但那是关门不是拆通道。顺便清掉默认配置里的无密码用户。

发布说明里一行不起眼的记录，配上晚 61 天的通告，这个组合最要命。安全团队按通告排期，两个月里存量机器一直裸奔。我们把 api 聊天协议直接禁用，只留需要的模块，比等补丁可控。确认在野利用就得走应急，不能排常规变更窗口。

通告晚 61 天这段最值得记。发布说明里只写一行加了个门禁，没人会把它当成紧急升级，结果存量服务器裸奔两个月。处置上建议先查 5060 是否暴露公网，能关就关，再谈升级；升级完还得核对 api 协议是不是真的禁用了。