🔴 Issabel взламывают через поддельный JWT
🔴 Issabel взламывают через поддельный JWT Привет! Исследователи VulnCheck обнаружили активную эксплуатацию критической уязвимости CVE-2026-89026 в Issabel Framework - веб-фреймворке для open-source PBX. Баг получил 9.8 по CVSS и позволяет удалённо выполнять команды в системе без авторизации. 👨💻 Причина оказалась в жёстко заданном JWT-ключе. Он одинаковый во всех установках Issabel, поэтому атакующий может самостоятельно создать валидный bearer-токен и обратиться к API без учётных данных. ⏺Дальше используется endpoint /pbxapi/manager/originate с параметром System. Через него Asterisk запускает переданную команду уже на самой системе от имени пользователя Asterisk. 👀 Патч выпустили ещё 1 августа: вместо общего ключа JWT теперь используется уникальный ключ из /etc/issabel.conf. Но Shadowserver впервые зафиксировала реальные атаки 9 сентября. Кто стоит за ними и сколько систем уже скомпрометировано, пока неизвестно. P.S. Уязвимость особенно неприятна для PBX: доступ к серверу телефонии может дать атакующему не только выполнение команд, но и точку входа в инфраструктуру организации. Issabel-системы стоит обновить до актуальной версии. #Issabel #VoIP #JWT #CyberSecurity 🤖Бесплатный ChatGPT