Uma falha crítica de segurança no Issabel Framework, um framework web para o software de comunicação unificada e PABX (central telefônica privada) de código aberto, está sendo alvo de exploração ativa.
A vulnerabilidade em questão é a CVE-2026-89026 (CVSS — Common Vulnerability Scoring System, sistema de pontuação de vulnerabilidades —: 9,8 na versão 3.1 e 9,3 na versão 4.0), que pode permitir que um atacante remoto sem autenticação execute comandos arbitrários no sistema operacional (SO) ao explorar uma chave de assinatura JWT (JSON Web Token, token web em formato JSON) codificada de forma fixa no código-fonte.
O Issabel Framework "contém uma chave de assinatura JWT HS256 (algoritmo HMAC-SHA-256) codificada de forma fixa no arquivo pbxapi index.php, idêntica em todas as instalações, permitindo que atacantes remotos sem autenticação forjem tokens de acesso válidos", afirmou a VulnCheck em um alerta.
"Os atacantes podem usar o token forjado para acessar o endpoint /pbxapi/manager/originate com o parâmetro de aplicação System, fazendo com que o Asterisk execute comandos arbitrários do SO como o usuário do Asterisk."
Um patch para a vulnerabilidade foi publicado em 1º de agosto de 2026 e corrige o problema substituindo a chave JWT codificada de forma fixa ("da893kasdfam43k29akdkfaFFlsdfhj23rasdf") por uma chave JWT armazenada no arquivo "/etc/issabel.conf".
Segundo a empresa de cibersegurança, a Shadowserver Foundation observou pela primeira vez a exploração da CVE-2026-89026 em 9 de setembro de 2026. No entanto, ainda não há detalhes sobre como a vulnerabilidade está sendo abusada em ataques reais, quem está por trás deles e a escala dessas ações.
Usuários do Issabel Framework são orientados a aplicar as correções mais recentes para garantir a proteção ideal.
