FreePBX filestore モジュールの認証後コマンド注入（悪用確認済み）

情報取得日: 2026/02/03／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです

CVE ID	CVE-2025-64328
製品	Sangoma / FreePBX Endpoint Manager (filestore モジュール)
CVSS	7.2（High） CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
種別 (CWE)	CWE-78 OS コマンドインジェクション
CVE 公開日	2025/11/07（NVD）
CISA KEV 収載日	2026/02/03 2025年に公開された脆弱性です。新着として扱う前に公開年を確認してください。
KEV 期限	2026/02/24 まで（米国連邦機関向け目安）
推奨対応	ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
出典	https://nvd.nist.gov/vuln/detail/CVE-2025-64328

概要

FreePBX の管理画面に含まれる filestore モジュールの testconnection から呼ばれる check_ssh_connect() 関数に OS コマンドインジェクションがある。認証後の脆弱性で、既知のユーザー名での認証が必要という前提はあるが、FreePBX の管理コンソールにアクセスできる利用者であれば任意のシェルコマンドを実行でき、asterisk ユーザーとしてのリモートアクセスを得られる。影響は 17.0.2.36 以上 17.0.3 未満で、修正は 17.0.3。ベンダーの advisory は、この欠陥が 2025年3月頃に混入したものだと記している。CVSS は評価元で分かれており、NVD（Primary）が CVSS 3.1 で 7.2 High（AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H）、CNA の GitHub が CVSS 4.0 の基本値で 8.6 High（AV:N/AC:L/AT:N/PR:N は無く PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N）としており、脅威と環境を織り込んだ CVSS-BTES では 6.1 まで下がると自ら説明している。CWE は CWE-78。NVD の参照には Fortinet による解析記事が Exploit として載っている。CISA KEV には 2026-02-03 に収載され、是正期限は 2026-02-24、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新）参照先も共通です（一次情報）。下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	EC2 上の FreePBX の filestore モジュールを 17.0.3 以上へ更新し、セキュリティグループで管理 GUI の到達元を限定する AWS 側の欠陥ではなく利用者が運用するアプリの問題。モジュール単位の更新なので、コア版だけ見ていると該当を見落とす。参照リンク
GCP	パッチあり（アプリ更新）	Compute Engine 上の FreePBX の filestore モジュールを 17.0.3 以上へ更新する GCP 側のサービスの問題ではない。VPC ファイアウォールで管理 GUI を社内経路のみに絞ると、認証後の脆弱性という前提をさらに厳しくできる。参照リンク
Azure	パッチあり（アプリ更新）	Azure VM 上の FreePBX の filestore モジュールを 17.0.3 以上へ更新する対象は利用者が自分で運用する FreePBX のみで、OS の更新では直らない。NSG で管理 GUI の受信を絞る。参照リンク
Linux	パッチあり（アプリ更新）	fwconsole ma upgradeall で filestore を 17.0.3 以上へ更新し、fwconsole ma list \| grep filestore で確認する FreePBX のモジュールはディストリのパッケージではないため yum / apt では更新されない。併せて未認証の認証回避（CVE-2025-57819）側の endpoint モジュールも修正版かを確認する。参照リンク

解決の方向性（パッチ／回避策／代替）

判定は fwconsole ma list | grep filestore で filestore モジュールの版を確認し、17.0.2.36 以上 17.0.3 未満なら該当である。ここで見落としやすいのは、影響範囲が「17.0.2.36 以降に入った不具合」であるため、こまめに更新していた環境の方が該当し、古い版のまま止まっていた環境は該当しないという逆転が起きている点である。版が範囲内かを実測せずに「新しいから大丈夫」と判断しないこと。緩和策はベンダーが3つ挙げており、filestore モジュールを最新へ更新すること、FreePBX の管理コントロールパネルにアクセスできる利用者を認可済みの人だけに限ること、FreePBX Firewall モジュールなどで敵性ネットワークから管理コンソールへのアクセスを拒否することである。認証が必要（PR:H）なので単体では条件が厳しいように見えるが、同じ FreePBX には未認証で管理者アクセスに到達できる CVE-2025-57819 があり、それと連鎖させられると前提が崩れる。したがって認証回避側と本件の両方が塞がっていることを確認する必要がある。完了条件は、（1）filestore が 17.0.3 以上であること、（2）管理コンソールがインターネットから到達できないこと、（3）KEV 収載＝実際に悪用されているので事後確認が済んでいること、の3点である。事後確認では、asterisk ユーザーとしてのコード実行が起点になるため、asterisk 権限で書き込める場所を中心に洗う。web root や /tmp に見覚えの無い PHP ファイル（ウェブシェル）が無いか、asterisk の crontab に追加が無いか、~/.ssh/authorized_keys に知らない鍵が無いか、外向きの不審な常時接続が無いかである。痕跡が出た場合は資格情報の全再発行と、可能なら再構築を検討する。是正期限 2026-02-24 は既に過ぎているため、未対応なら期限超過として扱う。

よくある質問（CVE-2025-64328）

CVE-2025-64328（FreePBX Endpoint Manager）の影響は？

High（CVSS 7.2）に分類されるSangoma FreePBX Endpoint Manager (filestore モジュール)の脆弱性です。FreePBX の管理画面に含まれる filestore モジュールの testconnection から呼ばれる check_ssh_connect() 関数に OS コマンドインジェクションがある。認証後の脆弱性で、既知のユーザー名での認証が必要という前提はあるが、FreePBX の管理コンソールにアクセスできる利用者であれば任意のシェルコマンドを実行でき、asterisk ユーザーとしてのリモートアクセスを得られる。影響は 17.0.2.36 以上 17.0.3 未満で、修正は 17.0.3。ベンダーの advisory は、この欠陥が 2025年3月頃に混入したものだと記している。CVSS は評価元で分かれており、NVD（Primary）が CVSS 3.1 で 7.2 High（AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H）、CNA の GitHub が CVSS 4.0 の基本値で 8.6 High（AV:N/AC:L/AT:N/PR:N は無く PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N）としており、脅威と環境を織り込んだ CVSS-BTES では 6.1 まで下がると自ら説明している。CWE は CWE-78。NVD の参照には Fortinet による解析記事が Exploit として載っている。CISA KEV には 2026-02-03 に収載され、是正期限は 2026-02-24、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

CVE-2025-64328 の対応方法・回避策は？

自分の環境が CVE-2025-64328 の影響を受けるか確認するには？

Sangoma FreePBX Endpoint Manager (filestore モジュール) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-64328）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2025-64328 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/24 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。