Um atacante está explorando ativamente uma falha crítica de segurança no Issabel Framework, um framework web para o software de PBX de comunicações unificadas de código aberto. A vulnerabilidade, identificada como CVE-2026-89026, permite que um atacante remoto sem autenticação execute comandos arbitrários do sistema operacional.
Detalhes Técnicos
A vulnerabilidade possui uma pontuação de CVSS v3.1 de 9,8 e CVSS v4.0 de 9,3, sendo classificada como crítica.
A falha ocorre devido a uma chave de assinatura HS256 JWT hardcoded no arquivo index.php do pbxapi, que é idêntica em todas as instalações.
Isso permite que atacantes forjem tokens de portador válidos e chamem o endpoint de origem do gerente com o parâmetro de aplicativo do sistema, fazendo com que o Asterisk execute comandos arbitrários do sistema operacional como usuário do Asterisk.
A exploração foi primeiro observada pela Shadowserver Foundation em 09 de setembro de 2026.
Ações Recomendadas
Atualizar o Issabel Framework para a versão mais recente.
Verificar se a instalação é vulnerável e aplicar patches de segurança imediatamente.
Monitorar logs de sistema e de rede para detectar possíveis tentativas de exploração.
