攻击者利用 Issabel Framework 漏洞实现未经身份验证的 OS 命令执行

开源统一通信 PBX 软件的 Web 框架 Issabel Framework 中的一个严重安全漏洞已遭到积极利用。

该漏洞为 CVE-2026-89026（CVSS v3.1 评分：9.8 / CVSS v4.0 评分：9.3），可允许未经身份验证的远程攻击者利用一个硬编码的 JSON Web Token (JWT) 签名密钥执行任意操作系统 (OS) 命令。

"Issabel Framework 在 pbxapi index.php 文件中包含一个硬编码的 HS256 JWT 签名密钥，该密钥在所有安装实例中完全相同，允许未经身份验证的远程攻击者伪造有效的 bearer 令牌，"VulnCheck 在一份警报中表示。

"攻击者可以使用伪造的令牌调用管理器 '/ pbxapi / manager / originate' 端点并附带 System 应用参数，导致 Asterisk 以 Asterisk 用户身份执行任意 OS 命令。"

该漏洞的补丁于 2026 年 8 月 1 日推送，通过将硬编码的 JWT 密钥（"da893kasdfam43k29akdkfaFFlsdfhj23rasdf"）替换为存储在 "/ etc / issabel.conf" 文件中的 JWT 密钥来修复该缺陷。

据这家网络安全公司称，Shadowserver Foundation 于 2026 年 9 月 9 日首次观察到对 CVE-2026-89026 的利用。不过，目前尚无关于该漏洞在现实攻击中如何被滥用、攻击者是谁以及此类行动规模等方面的细节。

建议 Issabel Framework 用户应用最新修复程序以获得最佳保护。