CVE-2026-89026
El Issabel Framework, el framework web que admite el software Issabel PBX, antes del commit b97dbaf contiene una clave de firma JWT HS256 codificada de forma fija en el archivo index.php de pbxapi que es idéntica en todas las instalaciones, lo que permite a atacantes remotos no autenticados falsificar tokens bearer válidos. Los atacantes pueden utilizar el token falsificado para llamar al endpoint manager originate con el parámetro de aplicación System, lo que provoca que Asterisk ejecute comandos arbitrarios del sistema operativo como el usuario Asterisk. La evidencia de explotación fue observada por primera vez por Shadowserver Foundation el 2026-09-09.
Preaviso: explotación observada
- Explotación observada desde el 15 sept 2026
- Todavía no está en el catálogo oficial de CISA
- Atacada 1 día antes de que la vulnerabilidad se hiciera pública
- Confirmada por sensores, no solo por informes
Fuente: VulnCheck KEV · 6 nov 2026 5 nov 2026 4 nov 2026 3 nov 2026 3 nov 2026 2 nov 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HArtículos relacionados
Una vulnerabilidad explotada de Cisco ISE desata una oleada de ataques contra canales de software confiables
Cisco ISE sufre una vulnerabilidad crítica explotada activamente. El artículo analiza también fallos en Orkes Conductor, libheif y Discourse.
Un secreto JWT compartido expone servidores Issabel PBX a la ejecución remota de comandos
Vulnerabilidad crítica CVE-2026-89026 en Issabel PBX: clave JWT fija permite RCE como Asterisk vía API originate. Afecta Framework sin parche.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.