Un secreto JWT compartido expone servidores Issabel PBX a la ejecución remota de comandos
Vulnerabilidad crítica CVE-2026-89026 en Issabel PBX: clave JWT fija permite RCE como Asterisk vía API originate. Afecta Framework sin parche.
Texto generado por inteligencia artificial, publicado sin revisión humana. Transparencia IA
Imagen ilustrativa generada con IA
Una clave de firma universal rompe la autenticación de la API
Los atacantes están aprovechando una vulnerabilidad crítica en Issabel Framework, el framework web en el que se basan la plataforma de código abierto Issabel PBX y sus comunicaciones unificadas.
Registrada como CVE-2026-89026, la vulnerabilidad permite a un atacante remoto no autenticado ejecutar comandos arbitrarios del sistema operativo como usuario Asterisk. La explotación no requiere credenciales robadas, acceso previo ni interacción del usuario.
La vulnerabilidad se origina en pbxapi/index.php, donde Issabel Framework almacenaba una clave de firma de JSON Web Token (JWT) HS256 directamente en el código de la aplicación. El secreto era idéntico en todas las instalaciones:
da893kasdfam43k29akdkfaFFlsdfhj23rasdf
Como HS256 utiliza el mismo secreto para crear y verificar la firma de un JWT, cualquiera que conozca ese valor puede generar tokens que los sistemas Issabel vulnerables acepten. Incrustar el secreto en el código fuente distribuido elimina, por tanto, el límite de seguridad que el token debería imponer.
La debilidad está clasificada como CWE-321: Use of Hard-coded Cryptographic Key.
Qué instalaciones de Issabel Framework están afectadas
El intervalo oficial de versiones afectadas abarca Issabel Framework desde la versión 0 hasta, sin incluirlo, el siguiente commit:
b97dbaf0b71c1c36f841e672b664afbeb02773bd
Algunas descripciones de la vulnerabilidad utilizan la referencia abreviada b97dbaf. Los administradores deben utilizar el hash completo para comprobar si una instalación incluye la corrección.
No se ha divulgado ningún límite asociado a una versión numerada. Las organizaciones no pueden determinar de forma segura su exposición basándose únicamente en el nombre general del producto Issabel PBX o en una familia de versiones; deben comprobar si el código de Framework instalado incorpora el commit correctivo.
La vulnerabilidad ha recibido una valoración crítica según dos estándares CVSS:
| Versión de CVSS | Puntuación | Gravedad | Vector |
|---|---|---|---|
| CVSS 4.0 | 9,3 | Crítica | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| CVSS 3.1 | 9,8 | Crítica | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Ambas evaluaciones reflejan el mismo problema central: la interfaz vulnerable es accesible a través de la red, la complejidad del ataque es baja y la explotación no requiere privilegios ni interacción de un usuario legítimo.
Los operadores de Issabel PBX son el grupo directamente expuesto. La ejecución tiene lugar de inmediato en el contexto de la cuenta Asterisk; no se ha descrito ninguna fase confirmada de escalada de privilegios ni un acceso de mayor nivel al sistema operativo.
Del token falsificado al comando del sistema operativo
La cadena de explotación combina el secreto compartido con una potente operación de la API de PBX.
En primer lugar, el atacante firma un JWT utilizando la clave HS256 codificada de forma fija. A continuación, presenta el token ante la API de Issabel PBX como credencial de tipo bearer. Como el servidor vulnerable verifica las firmas con el mismo secreto incrustado, considera auténtico el token fabricado.
Después, el atacante se dirige a este endpoint:
/pbxapi/manager/originate
La función de originación del manager puede invocar una aplicación de Asterisk. Al especificar la aplicación System y proporcionar un comando, el atacante consigue que Asterisk lo pase al sistema operativo subyacente.
La secuencia es la siguiente:
- Crear un JWT firmado con el secreto compartido por las instalaciones vulnerables.
- Enviar el token a la API de PBX.
- Llamar a
/pbxapi/manager/originate. - Seleccionar la aplicación
System. - Proporcionar un comando del sistema operativo para que el proceso de Asterisk lo ejecute.
Esto no se limita a iniciar llamadas sin autorización ni a manipular la configuración de telefonía. El resultado confirmado es la ejecución arbitraria de comandos con los permisos disponibles para el usuario Asterisk.
La vulnerabilidad también demuestra por qué cambiar las contraseñas o reforzar los controles de inicio de sesión interactivo no aborda la causa raíz. El atacante no se autentica a través de una cuenta de usuario normal. En su lugar, el servidor acepta un token criptográficamente válido creado con un secreto que nunca fue único ni privado.
La explotación se observó antes de la publicación del registro CVE
Se informó de que el parche se publicó el 1 de agosto de 2026. Posteriormente, Shadowserver Foundation observó indicios de explotación el 9 de septiembre de 2026.
El registro del programa CVE, publicado y actualizado el 15 de septiembre de 2026, atribuye el hallazgo a Shadowserver y marca la vulnerabilidad con la etiqueta x_known-exploited-vulnerability. También identifica el proyecto como de código abierto mediante la etiqueta x_open-source.
No se conoce la identidad del atacante o de los atacantes. Tampoco se ha divulgado una estimación del número de instalaciones de Issabel que fueron escaneadas, atacadas o comprometidas.
La información disponible no describe las cargas útiles, las técnicas de persistencia, las actividades posteriores ni la infraestructura operativa utilizada en los ataques. Por ello, los defensores todavía no pueden asociar la explotación con una campaña identificada ni utilizar un conjunto publicado de indicadores específicos de una campaña.
La designación de explotación conocida del programa CVE no debe confundirse con la inclusión en el catálogo Known Exploited Vulnerabilities de la Cybersecurity and Infrastructure Security Agency de Estados Unidos. No se ha informado de ninguna entrada independiente en CISA KEV, fecha de incorporación, plazo de corrección ni indicador de uso en ransomware para CVE-2026-89026.
La corrección hace que el secreto JWT sea específico de cada instalación
Los administradores deben actualizar Issabel Framework a un código que incluya el commit:
b97dbaf0b71c1c36f841e672b664afbeb02773bd
La corrección elimina el secreto compartido de pbxapi/index.php. En su lugar, Framework obtiene la clave de firma JWT de:
/etc/issabel.conf
Este cambio proporciona a cada instalación su propio secreto de firma configurado, en lugar de depender de un valor distribuido con la aplicación. Por consiguiente, los tokens generados con la antigua clave universal deberían dejar de superar la validación una vez instalado el código corregido y aplicada la configuración correspondiente.
No se ha divulgado ninguna solución alternativa independiente. Tampoco existe una recomendación documentada según la cual el filtrado de red, por sí solo, pueda compensar de forma segura mantener instalada la implementación vulnerable.
Cuando no sea posible aplicar el parche de inmediato, restringir el acceso a la API de PBX puede reducir la exposición, pero no debe considerarse una solución alternativa confirmada por el proveedor. El fallo de autenticación subyacente seguirá presente hasta que se actualice Framework y deje de aceptar tokens firmados con la clave incrustada.
Qué pueden investigar los defensores
Dado que la explotación está confirmada, la aplicación del parche debe ir acompañada de una revisión del incidente y no considerarse únicamente una medida de mantenimiento preventivo.
Los indicadores técnicos disponibles actualmente son limitados:
/pbxapi/manager/originate
System
da893kasdfam43k29akdkfaFFlsdfhj23rasdf
Los administradores pueden revisar los registros web, de la API, del proxy inverso y relacionados con Asterisk en busca de solicitudes inesperadas al endpoint de originación del manager, especialmente aquellas que involucren la aplicación System. También deben buscar comandos del sistema operativo ejecutados por Asterisk que no correspondan a actividades administrativas esperadas.
La clave JWT divulgada resulta útil para identificar código fuente vulnerable o supuestos de configuración inseguros, pero no es un indicador específico de una campaña. Su presencia demuestra que una instalación contiene este diseño inseguro; por sí sola, no demuestra que haya sido comprometida.
No se ha publicado ninguna regla de detección validada, paquete de indicadores forenses, lista de direcciones IP maliciosas ni firma de carga útil. Tampoco se conoce el comportamiento posterior a la explotación. Por tanto, las organizaciones que detecten actividad sospechosa en la API deben examinar el host en su conjunto para localizar procesos no autorizados, archivos modificados, ejecuciones programadas y otros cambios realizados bajo la cuenta Asterisk, sin asumir que todos los ataques siguen el mismo patrón.
La prioridad está clara: verificar la revisión instalada de Framework, implementar la gestión corregida de la clave JWT e investigar los sistemas expuestos para determinar si la ruta de la API vulnerable se utilizó anteriormente.
Fuentes
Este artículo es una reelaboración original basada en las siguientes fuentes.
- fuente primariaCVE Program
- The Hacker News