Критична уязвимост в Issabel Framework, който поддържа средите на Issabel PBX, се експлоатира активно в интернет. Пролуката, проследявана както CVE-2026-89026, позволява на неавтентифицирани отдалечени атакуващи да изпълняват операционни команди на засегнати PBX сървъри чрез фалшифициране на токени за автентификация.
VulnCheck оцени проблема като критичен с CVSS v4 оценка 9.3. Уязвимостта засяга версии на Issabel Framework преди комит b97dbaf0b71c1c36f841e672b664afbeb02773bd.
Shadowserver Foundation за първи път забеляза активност по експлоатация на 9 септември 2026 г., което прави бързото инсталиране на корекции за сигурност от изключителна важност за организации с Issabel PBX системи, достъпни от интернет.
Уязвимостта съществува, тъй като Issabel Framework съдържа твърдо кодиран HS256 JSON Web Token ключ за подписване във файла pbxapi/index.php.
Тъй като един и същ таен ключ присъства във всички засегнати инсталации, атакуващ може да генерира bearer токен, който изглежда легитимен за уязвимия Issabel сървър. JWT токените обикновено се използват за потвърждаване, че дадена заявка е оторизирана. В този случай споделеният ключ за подписване нарушава този модел за сигурност.
Атакуващият не се нуждае от валиден Issabel профил, парола или предишен достъп до PBX средата. Вместо това той може да създаде фалшифициран токен и да изпраща заявки към публично достъпни API крайни точки.
Експлоатирана е уязвимост в Issabel PBX
Проблемът е класифициран като CWE-321 („Използване на твърдо кодиран криптографски ключ“). Твърдо кодираните тайни са особено опасни в продукти, внедрени в множество организации, тъй като разкриването на един вграден ключ може да застраши всяка инсталация без инсталирани корекции за сигурност.
След генериране на изглеждащ валиден bearer токен, атакуващ може да насочи атаката си към крайната точка pbxapi/manager/originate. Тази крайна точка взаимодейства с функционалността Asterisk Manager Interface, използвана от PBX платформата.
Според информациите атакуващият може да извика приложението System чрез заявката originate. Това действие кара Asterisk да изпълнява произволни команди на операционната система с правата на потребителския профил Asterisk.
Този достъп може да позволи на киберпрестъпник да изтегли зловреден код, да установи трайно присъствие, да открадне записи на разговори или конфигурационни данни за PBX, да промени планове за набиране, да злоупотреби с телефонични ресурси или да се придвижи по-дълбоко в мрежата на организацията.
Точното въздействие зависи от привилегиите, назначени на служебния профил Asterisk, и конфигурацията на съответния сървър.
Тъй като атаката може да бъде извършена отдалечено без автентификация и не изисква взаимодействие с потребител, средите на Issabel, изложени в интернет, са изправени пред най-висок незабавен риск.
Администраторите на Issabel трябва да обновят Issabel Framework до версия, съдържаща корекцията за сигурност, свързана с комит b97dbaf0b71c1c36f841e672b664afbeb02773bd.
Организациите трябва да потвърдят, че тяхната инсталация вече не съдържа уязвимия споделен JWT ключ за подписване и че коригираният код на рамката е внедрен в реалната PBX среда.
Екипите по сигурност трябва също така да ограничат достъпа до администрирането на PBX и API интерфейсите. Крайните точки pbxapi и услугите за управление на Asterisk не трябва да са широко достъпни от публичния интернет.
Когато отдалеченото администриране е необходимо, организациите трябва да използват VPN достъп, бели списъци с IP адреси, надеждна автентификация и мрежова сегментация. VulnCheck също така добави уязвимостта в своята база данни Known Exploited Vulnerabilities, което подчертава необходимостта от приоритетно отстраняване на уязвимостта от страна на защитниците.
Администраторите трябва да прегледат логовете на уеб сървъра, Issabel, Asterisk и крайните устройства за съмнителна активност с bearer токени, необичайни originate заявки, изпълнение на приложението System, неочаквани шел команди или изходящи връзки от PBX сървъра.
Смятайте всяко доказателство за пробив за инцидент, изискващ подмяна на идентификационни данни, форензик анализ и пренастройка на засегнатите системи, където е необходимо.