Los atacantes aprovechan una vulnerabilidad del marco Issabel que permite la ejecución de comandos del sistema operativo sin autenticación

Una falla grave de se­gu­ri­dad que afec­ta a Is­sa­bel Fra­me­work, una pla­ta­for­ma web para soft­wa­re PBX de co­mu­ni­ca­cio­nes uni­fi­ca­das de có­di­go abier­to, está sien­do apro­ve­cha­da ac­ti­va­men­te por ata­can­tes. El fallo, iden­ti­fi­ca­do como CVE-2026-89026 con pun­tua­cio­nes altas en las es­ca­las CVSS, per­mi­te que un agre­sor re­mo­to sin au­ten­ti­ca­ción eje­cu­te ór­de­nes ar­bi­tra­rias en el sis­te­ma ope­ra­ti­vo me­dian­te el uso de una clave de firma JWT in­crus­ta­da de forma rí­gi­da.

De acuer­do con la in­for­ma­ción dis­po­ni­ble, el ar­chi­vo index.php del com­po­nen­te pb­xa­pi in­clu­ye una clave de firma HS256 JWT idén­ti­ca en todas las im­ple­men­ta­cio­nes, lo que po­si­bi­li­ta la fal­si­fi­ca­ción de to­kens de au­ten­ti­ca­ción vá­li­dos. Me­dian­te el uso de estas cre­den­cia­les fal­sas, los ata­can­tes lo­gran in­vo­car un punto final es­pe­cí­fi­co con un pa­rá­me­tro del sis­te­ma que fuer­za a As­te­risk a eje­cu­tar co­man­dos ar­bi­tra­rios bajo el per­fil de usua­rio de As­te­risk.

Como me­di­da co­rrec­ti­va, se li­be­ró un par­che que so­lu­cio­na la vul­ne­ra­bi­li­dad al sus­ti­tuir la clave JWT fija por una al­ma­ce­na­da en un ar­chi­vo de con­fi­gu­ra­ción del sis­te­ma. Aun­que una fun­da­ción de ci­ber­se­gu­ri­dad de­tec­tó los pri­me­ros casos de ex­plo­ta­ción real, hasta el mo­men­to no se cuen­ta con in­for­ma­ción sobre los au­to­res, la mag­ni­tud de las ac­cio­nes ma­li­cio­sas ni los mé­to­dos es­pe­cí­fi­cos uti­li­za­dos en los ata­ques, por lo que se re­co­mien­da a los usua­rios ac­tua­li­zar la pla­ta­for­ma con los arre­glos más re­cien­tes.