Привет! Исследователи VulnCheck обнаружили активную эксплуатацию критической уязвимости CVE-2026-89026 в Issabel Framework - веб-фреймворке для open-source PBX. Баг получил 9.8 по CVSS и позволяет удалённо выполнять команды в системе без авторизации.
👨💻 Причина оказалась в жёстко заданном JWT-ключе. Он одинаковый во всех установках Issabel, поэтому атакующий может самостоятельно создать валидный bearer-токен и обратиться к API без учётных данных.
⏺Дальше используется endpoint /pbxapi/manager/originate с параметром System. Через него Asterisk запускает переданную команду уже на самой системе от имени пользователя Asterisk.
👀 Патч выпустили ещё 1 августа: вместо общего ключа JWT теперь используется уникальный ключ из /etc/issabel.conf. Но Shadowserver впервые зафиксировала реальные атаки 9 сентября. Кто стоит за ними и сколько систем уже скомпрометировано, пока неизвестно.
P.S. Уязвимость особенно неприятна для PBX: доступ к серверу телефонии может дать атакующему не только выполнение команд, но и точку входа в инфраструктуру организации. Issabel-системы стоит обновить до актуальной версии.
#Issabel #VoIP #JWT #CyberSecurity
👍 Белый хакер