CVE-2026-89026: chiave JWT hard-coded attiva RCE su PBX Issabel

Il 9 settembre 2026 la Shadowserver Foundation ha rilevato exploitation attivo contro il Issabel Framework, un web framework open-source per centralini telefonici PBX. La vulnerabilità CVE-2026-89026, causata da una chiave HS256 JWT hard-coded identica in ogni installazione, consente a un attaccante remoto non autenticato di forgiare token validi ed eseguire comandi di sistema arbitrari tramite le API di gestione chiamate Asterisk. Il difetto era stato corretto il 1 agosto 2026, ma la finestra di esposizione di oltre cinque settimane ha lasciato spazio a una campagna di attacco in-the-wild.

Come una chiave hard-coded abbatte l'autenticazione

Il problema risiede nel file pbxapi/index.php, dove è presente la chiave di firma JWT da893kasdfam43k29akdkfaFFlsdfhj23rasdf hard-coded nel codice sorgente. La chiave è identica in ogni istanza del framework, indipendentemente dall'utente o dall'organizzazione che lo ha installato. Questa scelta architetturale, classificata come CWE-321 (Use of Hard-Coded Cryptographic Key), annulla la funzione stessa del meccanismo JWT, che si basa sulla segretezza della chiave di firma per garantire l'autenticità del token.

Un attaccante che conosca la chiave — e ora la conosce chiunque abbia accesso al repository o alle pubblicazioni di analisi — può generare token JWT validi senza possedere credenziali legittime. Secondo l'analisi di VulnCheck citata da The Hacker News: "The Issabel Framework 'contains a hard-coded HS256 JWT signing key in the pbxapi index.php file that is identical across every installation, allowing unauthenticated remote attackers to forge valid bearer tokens'". Il passaggio da informazione pubblica a exploit funzionante è tecnicamente immediato: nessuna interazione con l'utente, nessun requisito di accesso pregresso, nessuna dipendenza da condizioni di rete particolari.

Dal token forgiato all'esecuzione di comandi di sistema

Con un token JWT valido, l'attaccante accede all'endpoint /pbxapi/manager/originate, normalmente utilizzato per avviare chiamate telefoniche tramite l'API di Asterisk, il motore PBX open-source sottostante al Issabel Framework. L'endpoint accetta parametri che definiscono l'origine, la destinazione e l'applicazione da eseguire per la chiamata. Tra questi parametri figura System application, che permette di specificare un comando eseguibile sul sistema operativo host.

Il meccanismo è descritto con precisione nella stessa analisi: "Attackers can use the forged token to call the manager '/pbxapi/manager/originate' endpoint with the System application parameter, causing Asterisk to execute arbitrary OS commands as the Asterisk user". Il processo Asterisk, che in configurazioni standard gira con privilegi dedicati ma operativamente significativi all'interno del sistema, diventa il veicolo di esecuzione di comandi arbitrari. Il risultato è un Remote Code Execution non autenticato con un vettore completamente remoto e condizioni di attacco minimizzate.

Secondo il record CVE-2026-89026 pubblicato su CVE.org e NVD, la gravità è valutata CVSS 9.8 nella versione 3.1 (vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), confermando l'attacco di rete, la complessità bassa, l'assenza di privilegi richiesti e l'impatto elevato su confidenzialità, integrità e disponibilità. OffSeq Radar riporta il punteggio CVSS 4.0 a 9.3, coerente con la severità critica della vulnerabilità.

La timeline: patch del 1 agosto, exploitation del 9 settembre

La patch che risolve il difetto è stata rilasciata il 1 agosto 2026. Il commit b97dbaf0b71c1c36f841e672b664afbeb02773bd, verificabile sui repository pubblici, implementa la modifica architetturale fondamentale: la chiave hard-coded viene rimossa dal codice sorgente e sostituita da una chiave generata e memorizzata nel file di configurazione /etc/issabel.conf, presumibilmente unica per installazione. Questa separazione tra codice e segreto crittografico rappresenta la correzione standard per CWE-321.

Nonostante la disponibilità della patch, l'exploitation in-the-wild è stato osservato a partire dal 9 settembre 2026, come riportato dalla Shadowserver Foundation e confermato da multiple fonti primarie. L'intervallo di oltre cinque settimane tra rilascio del fix e primo avvistamento di attacco attivo indica una finestra di esposizione significativa per le organizzazioni che non hanno applicato tempestivamente l'aggiornamento. Nessuna fonte documenta la presenza di exploit pubblici precedenti alla data di avvistamento, né fornisce indicazioni sulla natura dei primi obiettivi.

CVSS 9.8: attacco remoto, non autenticato, complessità bassa, impatto totale su confidenzialità, integrità e disponibilità del sistema.

Cosa fare adesso

• Verificare la presenza del Issabel Framework nell'inventario degli asset esposti a Internet, con particolare attenzione ai sistemi PBX con accesso remoto su porte HTTP/HTTPS standard o non standard.
• Applicare immediatamente la patch del 1 agosto 2026 contenuta nel commit b97dbaf0b71c1c36f841e672b664afbeb02773bd, che sostituisce la chiave hard-coded con una chiave di configurazione locale in /etc/issabel.conf.
• Controllare i log di accesso all'endpoint /pbxapi/manager/originate per identificare richieste anomale con parametetro System application precedenti al 9 settembre 2026 o successive, in particolare da indirizzi IP non riconosciuti.
• Isolare i sistemi PBX non aggiornabili da accessi Internet diretti fino all'applicazione della correzione, dato che la vulnerabilità è attivamente sfruttata e richiede solo connettività di rete all'interfaccia web.