Критична уязвимост в сигурността на Issabel Framework, уеб-базирана рамка за софтуера с отворен код за обединени комуникации PBX, стана обект на активна експлоатация.
Въпросната уязвимост е CVE-2026-89026 (оценка по CVSS v3.1: 9.8 / оценка по CVSS v4.0: 9.3), която може да позволи на отдалечен атакуващ без автентификация да изпълнява произволни команди на операционната система (OS), възползвайки се от твърдо кодиран ключ за подписване на JSON Web Token (JWT).
Issabel Framework „съдържа твърдо кодиран HS256 JWT ключ за подписване във файла pbxapi index.php, който е идентичен при всяка инсталация, позволявайки на отдалечени атакуващи без автентификация да фалшифицират валидни bearer токени“, се казва в предупреждение на VulnCheck.
„Киберпрестъпниците могат да използват фалшифицирания токен, за да извикат крайната точка manager '/pbxapi/manager/originate' с параметъра System application, карайки Asterisk да изпълнява произволни OS команди като потребител Asterisk.“
Корекция за сигурност за уязвимостта беше предоставена на 1 август 2026 г., като тя отстранява проблема чрез замяна на твърдо кодирания JWT ключ ('da893kasdfam43k29akdkfaFFlsdfhj23rasdf') с JWT ключ, съхраняван във файла '/etc/issabel.conf'.
Според компанията за киберсигурност Shadowserver Foundation за първи път е наблюдавала експлоатация на CVE-2026-89026 на 9 септември 2026 г. Към момента обаче липсват подробности относно начина, по който уязвимостта се злоупотребява при реални атаки, кои са авторите на заплахата и какъв е мащабът на тези действия.
На потребителите на Issabel Framework се препоръчва да инсталират най-новите корекции за сигурност за оптимална защита.