Fallita sfruttata vulnerabilità di Issabel Framework per eseguire comandi del sistema operativo
Gli attaccanti stanno sfruttando attivamente una vulnerabilità critica di Issabel Framework che consente ad aggressori non autenticati di eseguire comandi del sistema operativo.
Una vulnerabilità critica in Issabel Framework, un'interfaccia di controllo basata sul web per il software PBX open source di comunicazioni unificate, è attivamente sfruttata dagli attaccanti, secondo un avviso di sicurezza di VulnCheck. Un PBX, o private branch exchange, è un sistema telefonico privato utilizzato all'interno di un'organizzazione, e Issabel Framework fornisce un'interfaccia web per gestirlo.
La falla, tracciata come CVE-2026-89026, ha un punteggio di gravità CVSS v3.1 di 9.8 e un punteggio CVSS v4.0 di 9.3, collocandola nella fascia critica. CVSS, o Common Vulnerability Scoring System, è un metodo standard per valutare quanto sia grave una debolezza di sicurezza su una scala da 0 a 10. La causa principale è una chiave di firma JSON Web Token (JWT) hard-coded. Un JWT è un token digitale compatto usato per dimostrare chi sta effettuando una richiesta, e la sua firma viene verificata usando una chiave segreta. In Issabel Framework, questa chiave segreta è inserita direttamente nel file pbxapi index.php ed è la stessa in ogni installazione. Ciò significa che un attaccante remoto non autenticato può falsificare un token bearer JWT valido senza conoscere alcuna password o altro segreto specifico di un dato sistema. Un token bearer è semplicemente una credenziale che concede l'accesso a chiunque lo presenti.
Secondo VulnCheck, gli attaccanti usano il token falsificato per chiamare l'endpoint manager /pbxapi/manager/originate con il parametro dell'applicazione System. Un endpoint è un percorso URL specifico nell'applicazione web che risponde alle richieste. Questa particolare chiamata fa sì che Asterisk, il motore di comunicazioni open source usato da Issabel, esegua comandi arbitrari del sistema operativo come utente Asterisk. In pratica, ciò dà all'attaccante la capacità di eseguire comandi sul server sottostante con i privilegi dell'account di servizio Asterisk, il che può portare alla compromissione totale del sistema.
Una patch per la vulnerabilità è stata rilasciata il 1° agosto 2026. La correzione rimuove la chiave JWT hard-coded, che è la stringa da893kasdfam43k29akdkfaFFlsdfhj23rasdf, e invece legge una chiave JWT univoca dal file /etc/issabel.conf. Questa modifica significa che ogni installazione ha la propria chiave segreta, quindi un token falsificato che funziona su un sistema non sarà valido su un altro.
La Shadowserver Foundation, che monitora le minacce su Internet, ha osservato per la prima volta lo sfruttamento di CVE-2026-89026 il 9 settembre 2026. Tuttavia, VulnCheck osserva che attualmente non ci sono dettagli su come la vulnerabilità venga abusata in attacchi reali, su chi ci sia dietro, o sulla portata dello sfruttamento. Agli utenti di Issabel Framework si consiglia di applicare le ultime correzioni il prima possibile.
Per i proprietari di siti web e le aziende che gestiscono servizi esposti a Internet, questo caso evidenzia un pericolo comune: una chiave segreta hard-coded nel software non è affatto segreta. Anche se non usate Issabel, dovreste verificare se qualche applicazione web self-hosted o sistema PBX nel vostro ambiente abbia aggiornamenti di sicurezza in sospeso. AEU-I offre servizi IT, di infrastruttura e di consulenza orientati alla sicurezza che possono aiutare le organizzazioni a rivedere e correggere tali sistemi prima che gli attaccanti li trovino.
Come Proteggerti
- Se usate Issabel Framework o qualsiasi software PBX, controllate il sito del fornitore e installate subito l'ultimo aggiornamento.
- Chiudete le pagine di amministrazione esposte a Internet pubblico, o mettetele dietro un firewall in modo che solo i computer fidati possano raggiungerle.
- Usate password forti e uniche e attivate l'autenticazione a due fattori per tutti i pannelli di amministrazione web che mantenete online.
- Controllate regolarmente i log del server e delle applicazioni per richieste inattese o connessioni in uscita, che possono rivelare un'intrusione.
- Se non siete sicuri che il vostro sistema sia stato corretto, chiedete al vostro fornitore IT o alla società di hosting di verificarlo per voi.
Vulnerabilità e Soluzioni
- CVE-2026-89026 CVE-2026-89026 is a critical vulnerability in Issabel Framework caused by a hard-coded JWT signing key; the patch replaces that key with one stored in /etc/issabel.conf and was released on August 1, 2026. Vedi la soluzione e i dettagli →
I Termini Spiegati
- Issabel Framework Un'interfaccia di controllo basata sul web usata per gestire il sistema telefonico PBX open source Issabel.
- PBX Private branch exchange, un sistema telefonico privato usato all'interno di un'organizzazione.
- JSON Web Token (JWT) Un token digitale compatto usato per dimostrare chi sta effettuando una richiesta; la sua firma viene verificata con una chiave segreta.
- hard-coded JWT signing key Una chiave segreta scritta direttamente nel codice del software, così ogni installazione usa la stessa chiave.
- unauthenticated remote attacker Qualcuno su Internet che può interagire con un sistema senza bisogno di effettuare l'accesso.
- operating system (OS) commands Istruzioni che dicono al software sottostante del server cosa fare.
- Asterisk Un motore di comunicazioni open source che gestisce le chiamate telefoniche per Issabel e sistemi PBX simili.
- endpoint Un percorso URL specifico in un'applicazione web che risponde alle richieste.