Веб-фреймворк Issabel атакуют через критическую уязвимость с 9,8 баллами CVSS — это популярное решение у российских интеграторов

В веб-фреймворке Issabel Framework обнаружили критическую уязвимость безопасности, которую активно используют злоумышленники. Брешь позволяет неаутентифицированному атакующему удаленно выполнять произвольные команды операционной системы. Об этом пишет The Hacker News.

Ранее были обнаружены атаки на российские организации с использованием фреймворка Ravage. Целями злоумышленников стали российские учебные заведения, энергетические компании и госучреждения. Атакующие рассылали жертвам фишинговые письма с вложениями под видом Excel, что позволило им загрузить бэкдоры и скрипт для запуска фреймворка. Редакция выпускала материал об этом.

Issabel Framework — бесплатная операционная система с открытым исходным кодом для развертывания серверов IP-АТС (VoIP) и систем унифицированных коммуникаций.

Уязвимость обозначена как CVE-2026-89026 и имеет оценку опасности 9.8 из 10 по CVSS v3.1 и 9.3 из 10 по CVSS v4.0. В материале указано, что фреймворк содержит жестко закодированный ключ подписи HS256 JWT в файле index.php библиотеки pbxapi, одинаковый для всех установок, что позволяет неаутентифицированным удаленным злоумышленникам подделывать настоящие токены bearer.

Злоумышленники могут использовать фейковый токен для вызова конечной точки менеджера «/pbxapi/manager/originate» с параметром приложения System, что заставляет программу, управляющую телефонными звонками через IP-сеть Asterisk, выполнять произвольные команды ОС от имени пользователя Asterisk.

Патч с исправлением, устраняющий недостаток путем замены жестко закодированного ключа JWT («da893kasdfam43k29akdkfaFFlsdfhj23rasdf») на ключ JWT, хранящийся в файле «/etc/issabel.conf», был выпущен 1 августа 2026 года. Было заявлено, что первые признаки эксплуатации были замечены 9 сентября 2026 года. В данный момент информация о том, как брешь используется в реальных атаках, кто за ними стоит и каков масштаб действий, неизвестна.

Мнение экспертов

Руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин указал, что точной статистики по доле Issabel Framework нет. Тем не менее эксперт подчеркнул: само решение актуально для России, и многие интеграторы предлагают его как один из вариантов для построения IP-телефонии на базе движка Asterisk.

Собеседник редакции указал, что особенно продукт востребован у небольших и средних клиентов, которым нужна собственная IP-АТС, а вкладываться в лицензии они не готовы. При этом Полунин подчеркнул, что большинство клиентов могут даже воспринимать установленную систему как Asterisk и не выделять Issabel как отдельный продукт. Подобные системы, заявил эксперт, зачастую ставились интеграторами много лет назад и работают без регулярного обновления, что усложняет оценку реального процента инсталляций. «Поэтому нельзя назвать Issabel доминирующей платформой IP-телефонии в стране, но и экзотической ее назвать нельзя», — заключил собеседник SecPost.

Проджект-менеджер ГК Softline (MD Audit) Кирилл Левкин выделил, что риск для российских компаний достаточно прямой, поскольку, если уязвимый сервер Issabel доступен из интернета, атакующему фактически не требуется учетная запись для выполнения команд в системе.

Дальше, по мнению эксперта, все зависит от того, какие права и доступы есть у самого сервера. Левкин подчеркнул: если Issabel не обновлен и при этом доступен из интернета, злоумышленник способен получить доступ к самой системе без авторизации. Далее, как заявил собеседник, все зависит от того, что находится на сервере и с какими системами он связан. Эксперт указал, что проблема находится в самой телефонии: можно изменить настройки, получить доступ к данным, которые хранятся на сервере.

«Если там есть записи разговоров или данные SIP-учетных записей, они тоже могут оказаться скомпрометированы», — заключил Левкин.

Начальник отдела по информационной безопасности «Код Безопасности» Алексей Коробченко отметил, что по всему миру существует 20 тысяч доступных из интернета установок, потенциально уязвимых к атаке. Также эксперт заявил: если сервис опубликован, что, как заметил Коробченко, бывает редко, то становятся возможными компрометация сервера, развитие атаки на внутреннюю инфраструктуру, кража учетных записей, разговоров и конфигураций.

Полунин из «Газинформсервис» отметил, что опасность уязвимости обусловлена тем, что для эксплуатации злоумышленнику не нужно проникать в периметр компании, чтобы нанести заметный ущерб. Также эксперт указал, что брешь дает возможность выполнять произвольные команды прямо в операционной системе, что означает фактически полный доступ к инфраструктуре в случае, если администраторы не предусмотрели такой сценарий.

«Последствия такой атаки могут выйти далеко за пределы собственно телефонии, если в компании не предусмотрено, например, сегментирование. В этом случае захват сервера Asterisk может быть только началом атаки», — заключил Полунин.