Lỗ hổng Issabel Framework bị khai thác để thực thi lệnh từ xa
"Attackers are actively exploiting CVE-2026-89026, a critical Issabel Framework flaw caused by a hard-coded HS256 JWT signing key that lets unauthenticated remote attackers forge bearer tokens and invoke the PBX manager endpoint to execute arbitrary OS commands as the Asterisk user. A patch was released on August 1, 2026 to replace the embedded key with one stored in /etc/issabel.conf, and exploitation was first observed by Shadowserver on September 9, 2026."
Tác động rất cao do thực thi lệnh từ xa không cần xác thực, có thể dẫn đến chiếm quyền hệ thống PBX và mở đường cho xâm nhập sâu hơn.
Có thể gây gián đoạn dịch vụ liên lạc nội bộ, ảnh hưởng tổng đài/VoIP, và làm tăng rủi ro rò rỉ hoặc thao túng dữ liệu vận hành.
Issabel Framework, nền tảng web cho phần mềm PBX mã nguồn mở, đang bị khai thác tích cực qua CVE-2026-89026. Lỗ hổng này được chấm CVSS 9.8/9.3 và bắt nguồn từ khóa ký JWT HS256 được mã hóa cứng trong pbxapi index.php, giống nhau trên mọi cài đặt. Kẻ tấn công không cần xác thực có thể tạo bearer token hợp lệ, gọi endpoint /pbxapi/manager/originate với tham số System, rồi khiến Asterisk thực thi lệnh hệ điều hành tùy ý dưới quyền người dùng Asterisk.
Bản vá đã được phát hành ngày 1/8/2026, thay khóa nhúng bằng khóa lưu trong /etc/issabel.conf. Theo ghi nhận của Shadowserver Foundation, hoạt động khai thác đầu tiên được quan sát vào 9/9/2026. Hiện chưa có thông tin chi tiết về chuỗi tấn công, tác nhân đứng sau hoặc quy mô ảnh hưởng.
Khuyến nghị: áp dụng ngay bản cập nhật mới nhất, kiểm tra hệ thống Issabel có lộ diện Internet hay không, rà soát log của PBX manager và Asterisk, đồng thời giới hạn truy cập quản trị từ các mạng tin cậy.