FreePBX の未認証アクセスから任意コード実行（悪用確認済み）

Critical（CVSS 9.8）に分類されるSangoma FreePBXの脆弱性です。FreePBX の 15 / 16 / 17 系で、商用の endpoint モジュールが利用者入力を十分にサニタイズしていないため、未認証の攻撃者が FreePBX Administrator にアクセスでき、そこから任意のデータベース操作と遠隔コード実行に至る。ベンダーの advisory は、2025年8月21日以前から、IP フィルタや ACL が不十分でインターネットに直接繋がっていた FreePBX 16 と 17 のシステムに対して実際の侵入が始まっており、この初期侵入を複数の手順と連鎖させて最終的に root 相当の権限を取り得ると説明している。修正は endpoint モジュールの 15.0.66 / 16.0.89 / 17.0.3。サポート対象の 15 / 16 / 17 すべてが影響し、EOL 版は未検証だが影響しうるとされている。CVSS は評価元で分かれており、NVD（Primary）が CVSS 3.1 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の GitHub が CVSS 4.0 で 10.0 Critical。CWE は CWE-89（SQL インジェクション）と CWE-288（代替経路による認証回避）の2つが付いている。NVD の参照には第三者による Exploit も載る。CISA KEV には公開翌日の 2025-08-29 に収載され、是正期限は 2025-09-19、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

判定はコアの版ではなくモジュールの版で行う。ベンダーが示している手順どおり fwconsole ma list | grep endpoint で endpoint モジュールの版を確認し、15 系なら 15.0.66、16 系なら 16.0.89、17 系なら 17.0.3 に達していなければ該当である。自動更新を切っている環境は fwconsole ma upgradeall で全モジュールを上げる、または管理画面の Admin から Module Admin で更新する。ここで注意すべきは、この脆弱性が「更新すれば終わり」ではないことである。ベンダーが実際の侵入を前提に IOC を公開しているので、次を必ず確認する。/etc/freepbx.conf が最近書き換えられていないか、あるいは消えていないか。/var/www/html/.clean.sh という通常存在しないファイルが無いか。Web サーバのログに modular.php への POST が並んでいないか（正規のトラフィックではまず出ない）。通話ログや CDR に内線 9998 への発信が無いか（設定した覚えが無ければ異常）。ampusers テーブルに ampuser など見覚えの無い管理ユーザーが登録されていないか。緩和策としては、advisory の題名どおり管理者アクセスの遮断が本筋で、FreePBX Firewall モジュールやクラウドのセキュリティグループで管理 GUI をインターネットから見えないようにし、必要な拠点 IP と VPN からのみ許可する。完了条件は、（1）endpoint モジュールが各系列の修正版以上、（2）管理 GUI がインターネットに露出していない、（3）上記 IOC をすべて確認済み、の3点が揃うことである。侵入の痕跡が1つでも出た場合は、更新では終わらない。SIP の secret、AMI の資格情報、データベースのパスワード、管理者パスワードをすべて再発行し、可能なら構築し直すのが安全である。放置された PBX は国際電話の不正発信で直接的な金銭被害に変わるため、通話明細の異常も併せて確認する。是正期限 2025-09-19 は大きく過ぎているため、未対応なら期限超過として最優先に扱う。

Sangoma FreePBX を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-57819）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/09/19 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。