CVE-2026-89026
Le Framework Issabel, le framework web prenant en charge le logiciel Issabel PBX, avant le commit b97dbaf, contient une clé de signature JWT HS256 codée en dur dans le fichier pbxapi index.php, identique dans chaque installation, permettant à des attaquants distants non authentifiés de forger des jetons bearer valides. Les attaquants peuvent utiliser le jeton forgé pour appeler le point de terminaison originate du manager avec le paramètre d’application System, ce qui entraîne l’exécution par Asterisk de commandes arbitraires du système d’exploitation avec les privilèges de l’utilisateur Asterisk. Des preuves d’exploitation ont été observées pour la première fois par la Shadowserver Foundation le 2026-09-09.
Alerte précoce : exploitation observée
- Exploitation observée depuis le 15 sept. 2026
- Pas encore dans le catalogue officiel de la CISA
- Attaquée 1 jour avant la divulgation publique de la faille
- Confirmée par des capteurs, pas seulement par des signalements
Source : VulnCheck KEV · 6 nov. 2026 5 nov. 2026 4 nov. 2026 3 nov. 2026 3 nov. 2026 2 nov. 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HArticles liés
Une faille Cisco ISE exploitée déclenche une vague d’attaques contre des canaux logiciels de confiance
La faille critique Cisco ISE CVE-2026-76460 est exploitée, avec d’autres risques touchant Orkes Conductor, libheif et les plug-ins d’IA.
Une clé secrète JWT partagée expose les serveurs Issabel PBX à l’exécution de commandes à distance
Faille critique CVE-2026-89026 dans Issabel PBX : une clé JWT HS256 codée en dur permet d'exécuter des commandes à distance sans authentification.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.