CVE-2026-89026
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
2.7%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
CVE-2026-89026 betrifft das Issabel Framework, welches die Issabel PBX-Software unterstützt. Eine hartkodierte HS256 JWT-Signaturschlüssel in der pbxapi index.php-Datei ermöglicht es nicht authentifizierten Angreifern, gültige Bearer-Tokens zu fälschen. Dies kann zur Ausführung beliebiger Betriebssystembefehle als Asterisk-Benutzer führen, indem der Manager-Originate-Endpunkt mit dem System-Anwendungsparameter aufgerufen wird. Die Schwachstelle wurde vor Commit b97dbaf identifiziert. Mit einem CVSS-Score von 9.8 (CRITICAL) ist diese Schwachstelle als äußerst kritisch einzustufen. Obwohl die EPSS-Wahrscheinlichkeit mit 3% derzeit niedrig ist, wurde die Ausnutzung dieser Schwachstelle bereits am 2026-09-09 durch die Shadowserver Foundation beobachtet, was eine sofortige Priorisierung erfordert. Security-Teams sollten umgehend prüfen, ob Issabel Framework-Installationen vor dem Commit b97dbaf im Einsatz sind. Eine Aktualisierung auf eine gepatchte Version ist dringend erforderlich, um das Risiko der Ausführung beliebiger Befehle zu eliminieren. Bis zur vollständigen Behebung sollten Systeme auf ungewöhnliche Aktivitäten und Zugriffe überwacht werden.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
The Issabel Framework, the web framework supporting Issabel PBX software, before commit b97dbaf contains a hard-coded HS256 JWT signing key in the pbxapi index.php file that is identical across every installation, allowing unauthenticated remote attackers to forge valid bearer tokens. Attackers can use the forged token to call the manager originate endpoint with the System application parameter, causing Asterisk to execute arbitrary OS commands as the Asterisk user. Exploitation evidence was first observed by the Shadowserver Foundation on 2026-09-09.