Alerta Crítico: Vulnerabilidade no Issabel Permite Execução de Comandos Remotos

A vulnerabilidade CVE-2026-89026 no Issabel Framework é uma ameaça séria, com pontuação CVSS v3.1 de 9.8 e CVSS v4.0 de 9.3. Ela surge de uma chave de assinatura JWT (JSON Web Token) hard-coded no arquivo pbxapi index.php. Esta chave, idêntica em todas as instalações, permite que um atacante remoto não autenticado crie tokens bearer válidos.

Com esses tokens forjados, o atacante consegue chamar o endpoint /pbxapi/manager/originate, passando o parâmetro de aplicação System. Isso força o Asterisk a executar comandos arbitrários no sistema operacional, utilizando as permissões do usuário Asterisk. Na prática, isso significa controle total do servidor por um invasor, sem qualquer tipo de autenticação prévia.

A correção para esta falha crítica foi implementada em 1 de agosto de 2026. A atualização substituiu a chave JWT hard-coded por uma chave configurável, armazenada no arquivo /etc/issabel.conf. No entanto, o problema escalou de uma vulnerabilidade conhecida para uma ameaça ativa quando a Shadowserver Foundation observou sua exploração em ataques reais a partir de 9 de setembro de 2026. Este é um padrão preocupante que também vimos recentemente com a falha de bypass de autenticação no WSO2 API Manager, que também explorava JWTs forjados, conforme noticiado em 17 de setembro de 2026.

Para empresas e organizações que dependem do Issabel Framework para suas comunicações unificadas, esta vulnerabilidade representa um risco iminente. Um atacante pode não apenas obter acesso irrestrito ao sistema, mas também roubar dados sensíveis, interromper serviços críticos ou usar a plataforma como ponto de entrada para ataques mais amplos na rede corporativa. A natureza da exploração (sem autenticação) e a pontuação crítica da vulnerabilidade sublinham a urgência para a aplicação imediata do patch. A negligência pode resultar em sérias consequências operacionais e financeiras.