CVE-2026-89026
CVSS 9.8 CRITICAL: the Issabel Framework, the web framework supporting Issabel PBX software, before commit b97dbaf contains a hard-coded… EPSS 3% (86º percentile), in aumento rispetto a 0.7%.
Vulnerabilità · 57 giorni fa
Shadowserver ha osservato sfruttamento attivo di CVE-2026-89026 in Issabel Framework il 9 settembre 2026: una falla critica consente a un attaccante non autenticato di eseguire comandi sul sistema. Il punto debole non è un login rotto, ma una chiave JWT HS256 uguale su ogni installazione.
Con quella chiave incorporata, si può forgiare un bearer token che il framework accetta come valido. Il token permette di chiamare il manager API e far eseguire ad Asterisk comandi OS come utente Asterisk, senza dover prima rubare una password o fare ricognizione sul singolo bersaglio.
La patch è stata rilasciata il 1° agosto 2026. Per chi espone Issabel Framework o l’API di manager in rete, il problema non è solo la singola istanza vulnerabile: una chiave condivisa rende plausibile l’abuso su più installazioni, quindi il rischio resta finché non si aggiorna e si considera l’esposizione già avvenuta.
CVSS 9.8 CRITICAL: the Issabel Framework, the web framework supporting Issabel PBX software, before commit b97dbaf contains a hard-coded… EPSS 3% (86º percentile), in aumento rispetto a 0.7%.
1 fonte che coprono questa storia
Attackers Exploit Issabel Framework Flaw Enabling Unauthenticated OS Command Execution
Issabel Framework flaw CVE-2026-89026 is under active exploitation and can enable unauthenticated OS command execution via a hard-coded JWT key.
Part of the PlainSec briefing for 2026-09-17