Cadre Issabel: parcelle CVE-2026-89026 après exploitation active

Une vulnérabilité grave dans le cadre Web du Cadre d'Issabel - identifié comme CVE-2026-89026- est activement exploité et permet aux attaquants à distance non authentifiés d'exécuter des commandes dans le système d'exploitation de l'équipement de fonctionnement d'Astérisque. L'échec a un score de gravité élevée (CVSS v3.1: 9.8; CVSS v4.0: 9.3) et est basé sur une mauvaise gestion des clés JWT : une clé HS256 codée de manière fixe et commune à toutes les installations a permis à un attaquant de faire des jetons valides et d'appeler l'API de gestion pour faire exécuter les commandes avec l'utilisateur astérisque.

Faits confirmés: la vulnérabilité identifiée comme CVE-2026-89026 existe dans l'indice pbxapi. php fichier de l'Issabel Framework et utilise une clé HS256 codée ("da893kasdfam43k29akdkfaFsdfhj23rasdf") qui est identique entre les installations; cette faiblesse permet de forger des jetons valides au porteur et, par l'intermédiaire de l'extrémité / pbxapi / manager / origate avec le paramètre d'application du système, faire en sorte qu'Astérisque exécute des ordres système avec les privilèges de l'utilisateur. Le fournisseur a publié une correction le 1er août 2026 qui remplace la clé intégrée par une clé de lecture de / etc / issabel.conf. En outre, la Fondation Shadowserver a rendu compte des observations sur l'exploitation active depuis le 9 septembre 2026. Ces points forment le noyau de ce qui a été confirmé jusqu'à présent.

Comment fonctionne l'échec techniquement: JWT avec l'algorithme HS256 utilise une seule clé secrète partagée pour signer et vérifier les jetons. Si cette clé est connue ou identique dans toutes les installations, quiconque sait qu'elle peut créer un jeton avec les champs nécessaires pour passer l'authentification basée sur le jeton porteur. Dans Issabel, le paramètre vulnérable vous permet de lancer un appel ou d'exécuter l'application Système dans Astérisque; lorsque vous utilisez cette application, Astérisque exécute les commandes système en tant qu'utilisateur astérisque. La combinaison de falsed + end token produit l'exécution à distance de commandes sans identifiants système valides.

Personnes touchées: toutes les installations Issabel Framework qui n'ont pas été mises à jour depuis la correction du 1er août 2026 et qui exposent le paramètre affecté (par exemple dans les interfaces publiques ou les réseaux avec accès externe) sont en danger. PBX installé dans des environnements mal segmentés, avec des ports HTTP / HTTPS exposés ou sans restrictions d'accès aux API, sont les plus vulnérables. Ils sont également menacés d'intégration qui utilise cette API pour la gestion à distance et qui suppose que JWT est une garantie d'identité sécurisée.

Les conséquences pratiques varient selon la configuration, mais sont pertinentes : l'exécution de commandes en tant qu'utilisateur astérisque vous permet de modifier les configurations d'Astérisque, de manipuler les fichiers d'enregistrement, d'établir une persistance limitée (par exemple, chronojobs sous la permission de l'utilisateur astérisque), de déployer des outils d'écoute d'appels ou de relais, de se déplacer latéralement sur le réseau s'il y a des privilèges supplémentaires, ou de préparer d'autres étapes d'escalade de privilèges. Ces conséquences sont plausibles et devraient être traitées comme un risque réel. Bien que la portée exacte des attaques observées (qui sont les attaquants et combien d'installations ont été compromises) n'est pas documentée publiquement.

Ce qui est connu et ce qui n'est pas:: Le cas échéant; Il est confirmé que la vulnérabilité existe, qu'elle a été corrigée et que Shadowserver a détecté une exploitation active à partir du 9 septembre 2026. Il n'existe pas d'information publique vérifiée sur la technique d'exploitation exacte utilisée sur le terrain, la motivation des agresseurs, les indicateurs d'engagement partagé à grande échelle ou le nombre d'installations touchées. Les attaquants peuvent automatiser la découverte d'extrémités exposées pour exploiter des installations non-patches, mais il s'agit d'une estimation basée sur le schéma typique de ces défaillances.

Mesures immédiates et concrètes à prendre par un gestionnaire de système: mettre à jour sans délai la version Issabel contenant la correction publiée le 1er août 2026 ; confirmer que l'installation charge maintenant une clé JWT de / etc / issabel. conf et que cette clé est unique par serveur. Si vous ne pouvez pas mettre à jour immédiatement, bloquez l'accès au paramètre vulnérable au niveau du pare-feu ou du scoreur (filtre / pbxapi / manager / d'origine et limitez l'accès HTTP / S au panneau de gestion uniquement aux PI de confiance). Désactiver l'API si elle n'est pas utilisée.

En plus de mettre à jour et de bloquer l'accès, implémentez les étapes opérationnelles suivantes : examiner l'accès Web et les enregistrements d'Astérisque pour les entrées vers / pbxapi / manager / origine et vérifications d'authentification : Porteur; inspect / var / log / astérisque / et fichiers système à la recherche d'ordres inhabituels exécutés par l'utilisateur astérisque et de nouveaux fichiers ou chronJobs; corrobore l'intégrité des configurations binaires et critiques; et, si l'activité suspecte est détectée, envisager de reconstruire l'hôte affecté à partir d'une image propre connue et restaurer les paramètres de sauvegardes vérifiées.

Pour la détection et la surveillance concrètes, je suggère de rechercher des modèles dans les journaux : tentatives d'accès / pbxapi / manager / origate, présence de jetons ours dans les en-têtes HTTP d'origine non autorisée, et commandes système exécutées par les processus enfants d'Astérisque. Intégrez ces recherches dans vos règles IDS / IPS et votre IMS pour les alertes précoces.

Mesures d'atténuation à moyen terme: s'assurer que les clés JWT ne sont pas codées dans le code source; encourager le stockage sûr dans les fichiers de configuration avec des permissions restreintes ou dans les modules de gestion secrète. Appliquer des principes moins privilégiés: réduire autant que possible les autorisations de l'utilisateur astérisque; segmenter le réseau pour rendre les interfaces de gestion PBX accessibles uniquement à partir de sous-réseaux administratifs; mettre en place une authentification forte pour les interfaces administratives et un audit de changement critique obligatoire.

Si vous gérez des fournisseurs ou des clients avec PBX dans le cloud, vous devez tamponner et vérifier et fermer les API inutilisées. Les tests de sauvegarde et de restauration devraient faire partie du plan de réponse et, face aux signes d'engagement, agir comme si la persistance et l'accès latéral avaient été obtenus.

Pour plus d'informations techniques et de bonnes pratiques sur la gestion de JWT et sa sécurité, voir les recommandations de l'OWASP sur JSON Web Tokens et les pages officielles du projet Issabel et Shadowserver: OWASP JWT Feuille de chaleur, Projet Issabel et Fondation Shadowserver. Ces sources fournissent un contexte et des directives supplémentaires pour les ajustements opérationnels et la détection.

Bref, il s'agit d'une vulnérabilité distante grave avec le patch publié; la priorité immédiate est de mettre à jour, de bloquer l'accès à l'API touchée et de rechercher des indicateurs de compromis dans vos systèmes. Depuis que l'opération active a été observée, traiter les installations exposées à un risque élevé jusqu'à ce que leur nettoyage et leur isolement soient confirmés.