Attackers Exploit Issabel Framework Flaw Enabling Unauthenticated OS Command Execution

Exploitation active de la faille RCE dans le framework Issabel

Le framework Issabel, utilisé pour les solutions de communications unifiées (PBX), subit actuellement des attaques actives exploitant une vulnérabilité critique permettant l’exécution de commandes système à distance sans authentification.

Points clés

• Vecteur d’attaque : La faille repose sur la présence d’une clé de signature JWT (JSON Web Token) codée en dur dans le fichier index.php de l’API (pbxapi). Cette clé étant identique sur toutes les installations, elle permet à un attaquant de forger des jetons valides.
• Impact : Une fois authentifié via un jeton forgé, un attaquant peut interagir avec le point de terminaison /pbxapi/manager/originate pour injecter des commandes arbitraires s’exécutant avec les privilèges de l’utilisateur Asterisk.
• Historique : Le correctif a été publié le 1er août 2026, mais les premières activités d’exploitation malveillante ont été observées par la fondation Shadowserver le 9 septembre 2026.

Vulnérabilité

• CVE-2026-89026 : Score CVSS v3.1 de 9.8 / Score CVSS v4.0 de 9.3.

Recommandations

• Mise à jour immédiate : Appliquer le correctif officiel publié par Issabel. La solution consiste à remplacer la clé codée en dur par une clé unique générée dynamiquement et stockée dans le fichier /etc/issabel.conf.
• Audit : Vérifier les journaux d’accès au serveur PBX pour détecter toute activité suspecte sur l’endpoint /pbxapi/manager/originate provenant d’adresses IP non autorisées.

Source