Vulnerabilidad de ejecución de comandos de PBX de Issabel crítica explotada en la naturaleza

Una vulnerabilidad crítica en Issabel Framework, que admite implementaciones de Issabel PBX, se está explotando activamente en la naturaleza. La falla, rastreada como CVE-2026-89026, permite a los atacantes remotos no autenticados ejecutar comandos del sistema operativo en servidores PBX vulnerables mediante la falsificación de tokens de autenticación.

La vulnerabilidad afecta a las versiones de Issabel Framework anteriores al commit b97dbaf0b71c1c36f841e672b664afbeb02773bd. La Shadowserver Foundation observó por primera vez la actividad de exploit el 9 de septiembre de 2026, lo que hace que los parches rápidos sean críticos para las organizaciones que ejecutan sistemas Issabel PBX expuestos a Internet. La vulnerabilidad existe porque Issabel Framework incluyó una clave de firma de token web JSON HS256 codificada en el archivo pbxapi/index.php. Debido a que la misma clave secreta estaba presente en todas las instalaciones afectadas, un atacante podría generar un token portador que parezca legítimo para un servidor Issabel vulnerable.

Vulnerabilidad explotada en PBX Issabel El problema se clasifica como CWE-321, Uso de clave criptográfica codificada. Las organizaciones deben confirmar que su instalación ya no contiene la clave de firma JWT compartida vulnerable y que el código de marco con parche aplicado se implementa en el entorno PBX activo.

Consultar publicación original ↗