CVE-2026-89026
Issabel Framework, il framework web che supporta il software Issabel PBX, prima del commit b97dbaf contiene una chiave di firma JWT HS256 hardcoded nel file index.php di pbxapi, identica in ogni installazione, consentendo ad attaccanti remoti non autenticati di falsificare token bearer validi. Gli attaccanti possono utilizzare il token falsificato per chiamare l'endpoint manager originate con il parametro dell'applicazione System, causando l'esecuzione da parte di Asterisk di comandi OS arbitrari con l'utente Asterisk. Le prime evidenze dello sfruttamento sono state osservate dalla Shadowserver Foundation il 2026-09-09.
Preallarme: sfruttamento osservato
- Sfruttamento osservato dal 15 set 2026
- Non ancora nel catalogo ufficiale CISA
- Attaccata 1 giorno prima che la vulnerabilità fosse resa pubblica
- Confermata dai sensori, non solo da segnalazioni
Fonte: VulnCheck KEV · 6 nov 2026 5 nov 2026 4 nov 2026 3 nov 2026 3 nov 2026 2 nov 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HArticoli correlati
Una falla sfruttata in Cisco ISE scatena un’ondata di attacchi contro canali software affidabili
CVE-2026-76460 in Cisco ISE è sfruttata attivamente. Analisi dei rischi per Orkes Conductor, libheif, Discourse e plugin AI.
Un segreto JWT condiviso espone i server Issabel PBX all'esecuzione remota di comandi
Chiave JWT condivisa in Issabel Framework permette RCE non autenticata su Issabel PBX via API originate: dettagli su CVE-2026-89026, versioni e fix.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.