Исследователи VulnCheck выявили активную эксплуатацию CVE-2026-89026 в Issabel Framework — веб-фреймворке для open-source PBX. Уязвимость получила 9,8 балла по CVSS и позволяет удалённо выполнять команды без авторизации.
Причина — жёстко заданный JWT-ключ, одинаковый во всех установках Issabel. Атакующий может создать валидный bearer-токен и обратиться к API через endpoint `/pbxapi/manager/originate` с параметром `System`. После этого Asterisk выполняет переданную команду от имени пользователя `asterisk`.
Патч выпустили 1 августа: общий ключ заменили уникальным из `/etc/issabel.conf`. Однако 9 сентября Shadowserver зафиксировала реальные атаки. Масштаб компрометации и личности злоумышленников неизвестны.
Официальный сайт Issabel: https://www.issabel.com/
Подпишись, тут про технолоджии.
P.S. Меня зовут Бедняков Артем, я разрабатываю backend-решения на Python любой сложности:
- REST API и микросервисы;
- агентные системы и AI-интеграции;
- Telegram-боты и Mini Apps;
- парсеры и автоматизация;
- интеграции с внешними сервисами и API;
- тестирование и CI/CD;
- DevOps и развёртывание;
- аудит и проверки безопасности.
Если вам нужна разработка или есть вопросы по реализации проекта — пишите мне в Telegram
Всегда рад обсудить задачу и помочь найти решение.
Также подписывайтесь на мой Telegram-канал IT POLICE, где я пишу о Python, backend-разработке, технологиях и кибербезопасности.