CVE-2026-89026
Das Issabel Framework, das Web-Framework zur Unterstützung der Issabel-PBX-Software, enthält vor dem Commit b97dbaf im Verzeichnis pbxapi index.php einen fest codierten HS256-JWT-Signaturschlüssel, der bei jeder Installation identisch ist, wodurch nicht authentifizierte Remote-Angreifer gültige Bearer-Tokens fälschen können. Angreifer können das gefälschte Token verwenden, um den Manager-Originierungsendpunkt mit dem Parameter System application aufzurufen, wodurch Asterisk beliebige Betriebssystembefehle als Asterisk-Benutzer ausführen kann. Hinweise auf eine Ausnutzung wurden erstmals am 2026-09-09 von der Shadowserver Foundation beobachtet.
Frühwarnung: Ausnutzung beobachtet
- Ausnutzung beobachtet seit dem 15.09.2026
- Noch nicht im offiziellen CISA-Katalog
- Angegriffen 1 Tag bevor die Schwachstelle öffentlich wurde
- Durch Sensoren bestätigt, nicht nur durch Meldungen
Quelle: VulnCheck KEV · 06.11.2026 05.11.2026 04.11.2026 03.11.2026 03.11.2026 02.11.2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HVerwandte Artikel
Ausgenutzte Cisco-ISE-Schwachstelle löst Angriffswelle auf vertrauenswürdige Softwarekanäle aus
CVE-2026-76460 in Cisco ISE wird aktiv ausgenutzt. Der Artikel erläutert Risiken, weitere RCE-Lücken und wichtige Schutzmaßnahmen.
Ein gemeinsames JWT-Geheimnis ermöglicht die Remotecodeausführung auf Issabel-PBX-Servern
CVE-2026-89026: Fest codiertes JWT-Secret erlaubt Angreifern ohne Login RCE auf Issabel-PBX via API-Endpunkt /pbxapi/manager/originate als Asterisk-User.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.