Un segreto JWT condiviso espone i server Issabel PBX all'esecuzione remota di comandi
Chiave JWT condivisa in Issabel Framework permette RCE non autenticata su Issabel PBX via API originate: dettagli su CVE-2026-89026, versioni e fix.
Testo generato da intelligenza artificiale, pubblicato senza revisione umana. Trasparenza IA
Immagine illustrativa generata con AI
Una chiave di firma universale compromette l'autenticazione dell'API
Gli aggressori stanno sfruttando una vulnerabilità critica in Issabel Framework, il framework web alla base della piattaforma open source Issabel PBX per le comunicazioni unificate.
Identificata come CVE-2026-89026, la vulnerabilità consente a un attaccante remoto non autenticato di eseguire comandi arbitrari del sistema operativo con i privilegi dell'utente Asterisk. Lo sfruttamento non richiede credenziali sottratte, accesso preliminare o interazione da parte dell'utente.
La vulnerabilità risiede in pbxapi/index.php, dove Issabel Framework memorizzava direttamente nel codice dell'applicazione una chiave di firma per i JSON Web Token HS256. Il segreto era identico in tutte le installazioni:
da893kasdfam43k29akdkfaFFlsdfhj23rasdf
Poiché HS256 utilizza lo stesso segreto per creare e verificare la firma di un JWT, chiunque conosca quel valore può generare token accettati dai sistemi Issabel vulnerabili. Inserire il segreto nel codice sorgente distribuito elimina quindi il confine di sicurezza che il token dovrebbe garantire.
La debolezza è classificata come CWE-321: Use of Hard-coded Cryptographic Key.
Quali installazioni di Issabel Framework sono interessate
L'intervallo ufficiale delle versioni interessate comprende le versioni di Issabel Framework dalla 0 fino a prima del commit:
b97dbaf0b71c1c36f841e672b664afbeb02773bd
Alcune descrizioni della vulnerabilità riportano il riferimento abbreviato b97dbaf. Per verificare se un'installazione include la correzione, gli amministratori dovrebbero fare riferimento all'hash completo.
Non è stato indicato alcun limite basato su una versione numerata. Le organizzazioni non possono determinare in sicurezza la propria esposizione basandosi solo sul nome generico del prodotto Issabel PBX o su una famiglia di versioni: devono verificare che il codice di Framework installato includa il commit correttivo.
La vulnerabilità ha ricevuto valutazioni critiche secondo due standard CVSS:
| Versione CVSS | Punteggio | Gravità | Vettore |
|---|---|---|---|
| CVSS 4.0 | 9.3 | Critica | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| CVSS 3.1 | 9.8 | Critica | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Entrambe le valutazioni riflettono lo stesso problema centrale: l'interfaccia vulnerabile è accessibile dalla rete, la complessità dell'attacco è bassa e lo sfruttamento non richiede né privilegi né interazione da parte di un utente legittimo.
Gli operatori di Issabel PBX sono il gruppo direttamente esposto. L'esecuzione avviene nel contesto immediato dell'account Asterisk; non sono state descritte fasi confermate di escalation dei privilegi né l'accesso a livelli superiori del sistema operativo.
Dal token contraffatto al comando del sistema operativo
La catena di sfruttamento combina il segreto condiviso con una potente operazione dell'API PBX.
Per prima cosa, l'attaccante firma un JWT utilizzando la chiave HS256 hard-coded. Il token risultante viene quindi presentato all'API di Issabel PBX come credenziale bearer. Poiché il server vulnerabile verifica le firme utilizzando lo stesso segreto incorporato, considera autentico il token contraffatto.
L'attaccante prende quindi di mira questo endpoint:
/pbxapi/manager/originate
La funzione manager originate può richiamare un'applicazione Asterisk. Specificando l'applicazione System e fornendo un comando, l'attaccante induce Asterisk a passare quel comando al sistema operativo sottostante.
La sequenza è quindi la seguente:
- Creare un JWT firmato con il segreto condiviso dalle installazioni vulnerabili.
- Inviare il token all'API PBX.
- Richiamare
/pbxapi/manager/originate. - Selezionare l'applicazione
System. - Fornire un comando del sistema operativo da eseguire tramite il processo Asterisk.
L'impatto non si limita all'avvio non autorizzato di chiamate o alla manipolazione delle impostazioni di telefonia. L'esito confermato è l'esecuzione arbitraria di comandi con i privilegi disponibili all'utente Asterisk.
La vulnerabilità dimostra inoltre perché la rotazione delle password o il rafforzamento dei controlli per l'accesso interattivo non risolvano la causa alla radice. L'attaccante non si autentica tramite un normale account utente. Il server accetta invece un token crittograficamente valido, creato con un segreto che non è mai stato né univoco né privato.
Lo sfruttamento è stato osservato prima della pubblicazione del record CVE
È stato riferito che una patch è stata pubblicata il 1º agosto 2026. Successivamente, il 9 settembre 2026, la Shadowserver Foundation ha osservato prove di sfruttamento.
Il record del CVE Program, pubblicato e aggiornato il 15 settembre 2026, attribuisce la segnalazione a Shadowserver e contrassegna la vulnerabilità con il tag x_known-exploited-vulnerability. Il record identifica inoltre il progetto come open source tramite il tag x_open-source.
L'identità dell'attaccante o degli attaccanti non è nota. Non è stata inoltre resa pubblica alcuna stima del numero di installazioni Issabel sottoposte a scansione, prese di mira o compromesse.
Le informazioni disponibili non descrivono payload, tecniche di persistenza, attività successive allo sfruttamento o l'infrastruttura operativa utilizzata per gli attacchi. Di conseguenza, i difensori non possono ancora associare lo sfruttamento a una campagna identificata né utilizzare un insieme pubblicato di indicatori specifici della campagna.
La designazione di vulnerabilità sfruttata nota assegnata dal CVE Program non deve essere confusa con l'inserimento nel catalogo Known Exploited Vulnerabilities della Cybersecurity and Infrastructure Security Agency statunitense. Per CVE-2026-89026 non sono stati segnalati un distinto inserimento nel catalogo CISA KEV, una data di aggiunta, una scadenza per la correzione o un'indicazione relativa all'uso da parte di ransomware.
La correzione rende il segreto JWT specifico per ogni installazione
Gli amministratori dovrebbero aggiornare Issabel Framework a una versione del codice che includa il commit:
b97dbaf0b71c1c36f841e672b664afbeb02773bd
La correzione rimuove il segreto condiviso da pbxapi/index.php. Il Framework recupera invece la chiave di firma JWT da:
/etc/issabel.conf
In questo modo ogni installazione dispone di un proprio segreto di firma configurato, anziché utilizzare un valore distribuito insieme all'applicazione. Di conseguenza, dopo l'installazione del codice corretto e della relativa configurazione, i token generati con la vecchia chiave universale dovrebbero non superare più la validazione.
Non è stata resa pubblica alcuna soluzione alternativa. Non è stata inoltre documentata alcuna raccomandazione secondo cui il solo filtraggio della rete possa compensare in sicurezza la permanenza dell'implementazione vulnerabile.
Quando l'applicazione immediata della patch non è possibile, limitare l'accesso all'API PBX può ridurre l'esposizione, ma non deve essere considerato un workaround confermato dal fornitore. Il problema di autenticazione alla base della vulnerabilità rimane presente finché Framework non viene aggiornato e non smette di accettare token firmati con la chiave incorporata.
Cosa possono verificare i difensori
Poiché lo sfruttamento è confermato, l'applicazione della patch dovrebbe essere accompagnata da una revisione dell'incidente, anziché essere considerata soltanto un'attività di manutenzione preventiva.
Gli indicatori tecnici attualmente disponibili sono limitati a:
/pbxapi/manager/originate
System
da893kasdfam43k29akdkfaFFlsdfhj23rasdf
Gli amministratori possono esaminare i log web, API, reverse proxy e relativi ad Asterisk alla ricerca di richieste anomale all'endpoint manager originate, in particolare quelle che coinvolgono l'applicazione System. Dovrebbero inoltre cercare comandi del sistema operativo avviati da Asterisk che non corrispondano ad attività amministrative previste.
La chiave JWT resa pubblica è utile per individuare il codice sorgente vulnerabile o le configurazioni che presuppongono l'uso di un segreto condiviso, ma non costituisce un indicatore specifico della campagna. La sua presenza dimostra che un'installazione contiene il design non sicuro; da sola, non dimostra una compromissione.
Non sono state pubblicate regole di rilevamento validate, raccolte di indicatori forensi, elenchi di indirizzi IP malevoli o firme di payload. Anche il comportamento successivo allo sfruttamento è sconosciuto. Le organizzazioni che rilevano attività sospette sull'API dovrebbero quindi esaminare l'host nel suo complesso alla ricerca di processi non autorizzati, file modificati, esecuzioni pianificate e altre modifiche effettuate tramite l'account Asterisk, evitando di dare per scontato l'uso di un'unica procedura da parte degli attaccanti.
La priorità è chiara: verificare la revisione di Framework installata, distribuire la gestione corretta della chiave JWT e analizzare i sistemi esposti per individuare eventuali utilizzi precedenti del percorso API vulnerabile.
Fonti
Questo articolo è una rielaborazione originale basata sulle fonti seguenti.
- fonte primariaCVE Program
- The Hacker News