Zdjęcie: © Taylor Vick / Unsplash
Źródło: unsplash.com/photos/M5tzZtFCOfs
Krytyczna podatność w Issabel Framework, webowym frameworku dla otwartego oprogramowania PBX do obsługi komunikacji, jest aktywnie wykorzystywana. Luka CVE-2026-89026 otrzymała ocenę 9,8 w skali CVSS v3.1 oraz 9,3 w CVSS v4.0. Umożliwia zdalnemu, nieuwierzytelnionemu napastnikowi wykonywanie dowolnych poleceń systemowych.
Problem wynika z użycia takiego samego, zakodowanego na stałe klucza podpisującego JSON Web Token (JWT) we wszystkich instalacjach. Napastnik może dzięki temu przygotować prawidłowo wyglądający token i uzyskać dostęp do funkcji zarządzającej, która pozwala uruchamiać polecenia w systemie. Działania są wykonywane z uprawnieniami użytkownika usługi Asterisk, co może umożliwić przejęcie kontroli nad elementami środowiska komunikacyjnego.
Poprawka została opublikowana 1 sierpnia 2026 roku. Zastępuje ona wspólny klucz wartością przechowywaną w pliku konfiguracyjnym systemu. Fundacja Shadowserver zaobserwowała pierwsze przypadki wykorzystywania luki 9 września. Nie ma obecnie informacji o sprawcach, skali ataków ani szczegółach działań prowadzonych w rzeczywistych kampaniach. Administratorzy Issabel powinni zainstalować najnowsze aktualizacje.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
System oznaczania i katalogowania publicznie znanych podatności w oprogramowaniu. Numer CVE jednoznacznie identyfikuje konkretny błąd bezpieczeństwa.
PBX to system służący do obsługi firmowej telefonii i połączeń wewnętrznych.
Format tokenu używanego do przekazywania informacji o tożsamości i uprawnieniach użytkownika między systemami.
Brak komentarzy. Bądź pierwszy!