CVE-2026-89026: Kritisk fejl i Issabel PBX udnyttes
Issabel PBX har en hårdkodet JWT-nøgle, så angribere uden login kan køre kommandoer på telefonserveren. Sårbarheden udnyttes allerede.
Hvad er det?
CVE-2026-89026 er en kritisk sårbarhed i Issabel Framework, webrammeværket bag Issabel PBX, et open source-telefonsystem bygget på Asterisk. Fejlen ligger i filen pbxapi/index.php, hvor systemet bruger en hårdkodet nøgle til at signere JWT-tokens, kryptografiske adgangsbeviser der bekræfter, at en bruger er logget ind. Fordi nøglen er identisk i alle installationer af Issabel, kan en angriber uden brugernavn eller adgangskode selv fremstille gyldige tokens. Med et forfalsket token kan angriberen kalde API-endepunktet manager originate med parameteren System, som får Asterisk til at udføre vilkårlige kommandoer på serverens styresystem med Asterisk-brugerens rettigheder. Fejlen er rettet i commit b97dbaf.
Hvem rammer det?
Sårbarheden rammer alle virksomheder og kommuner, der kører Issabel PBX med en Issabel Framework-version ældre end commit b97dbaf. Det gælder typisk mindre og mellemstore virksomheder samt offentlige institutioner, der bruger Issabel som omstillingsanlæg eller callcenter-løsning, og hvor administrationsgrænsefladen ofte er eksponeret mod internettet for at understøtte fjernarbejdere.
Hvad kan ske?
En angriber kan overtage telefonsystemet fuldstændigt uden at kende et eneste brugernavn eller adgangskode. Angriberen kan aflytte eller omdirigere opkald, oprette dyre udlandsopkald på virksomhedens regning, læse og ændre opkaldsdata, og bruge serveren som springbræt videre ind i virksomhedens netværk, fordi kommandoerne udføres direkte på styresystemet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, ingen brugerinteraktion, og kan udføres over netværket med lav teknisk kompleksitet. Shadowserver Foundation har observeret aktiv udnyttelse af sårbarheden fra den 9. september 2026, altså før den blev offentliggjort. Der er tale om en sårbarhed, der reelt udnyttes, ikke kun en teoretisk risiko.
Hvad gør jeg nu?
Da sårbarheden allerede udnyttes aktivt, bør systemer med Issabel PBX behandles som potentielt kompromitteret, indtil andet er bekræftet.
- Opdatér Issabel Framework til en version, der inkluderer commit b97dbaf eller nyere, så den hårdkodede JWT-nøgle fjernes.
- Skift alle administrative adgangskoder og genstart Asterisk-tjenesten efter opdateringen, så eventuelle forfalskede tokens bliver ugyldige.
- Gennemgå opkaldslogs for uregelmæssigheder, herunder ukendte udlandsopkald og uventede kald til manager-API’et.
- Begræns adgangen til Issabel-administrationsgrænsefladen, så den kun kan tilgås via VPN eller afgrænsede firewallregler, ikke direkte fra internettet.
- Undersøg om serveren har været misbrugt som adgangsvej videre ind i netværket, hvis den har været eksponeret siden før 9. september 2026.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på kompromittering, eller hvis I ikke selv kan bekræfte, at opdateringen er korrekt installeret.
Opdatér i dag, udnyttes aktivt
Vi anbefaler, at I opdaterer Issabel Framework til den rettede version med det samme og samtidig behandler systemet som potentielt kompromitteret, fordi udnyttelse er observeret før offentliggørelsen. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, da angrebet hverken kræver login eller brugerhandling. Er I i tvivl om, hvorvidt jeres installation allerede er ramt, bør I få en ekstern gennemgang af logs og system, før I genåbner adgangen fra internettet.
Tidslinje
Konkrete eksempler
Callcenter med eksponeret telefonanlæg
En dansk mellemstor virksomhed driver et callcenter med Issabel PBX, hvor administrationsgrænsefladen er tilgængelig fra internettet for at understøtte medarbejdere på hjemmekontor. En angriber forfalsker et JWT-token uden at kende noget login, kalder manager originate-endepunktet og opretter en række dyre udlandsopkald natten over. Først dagen efter opdager økonomiafdelingen den usædvanlige telefonregning, og en gennemgang viser, at serveren også har været brugt til at forsøge adgang videre ind i virksomhedens netværk.
Ofte stillede spørgsmål
Hvordan ved vi, om vores Issabel-server er ramt?
Tjek om jeres Issabel Framework-installation er ældre end commit b97dbaf. Gennemgå desuden logs for opkald til manager originate-endepunktet med parameteren System, samt for tokens der ikke stammer fra jeres egne brugere.
Kan vi vente med opdateringen til weekenden?
Nej. Sårbarheden udnyttes allerede aktivt, kræver hverken login eller brugerhandling, og kan angribes automatiseret over internettet. Opdateringen bør gennemføres hurtigst muligt, ikke ved næste planlagte vedligeholdelse.
Skal vi anmelde hændelsen, hvis systemet er kompromitteret?
Hvis I finder tegn på misbrug, herunder uautoriserede opkald eller adgang, skal I vurdere om persondata er berørt og i givet fald anmelde til Datatilsynet. Væsentlige hændelser i kritisk infrastruktur bør også meldes til CFCS.
Bliver telefonsystemet utilgængeligt, mens vi opdaterer?
Der vil typisk være en kort nedetid, mens Asterisk-tjenesten genstartes efter opdateringen. Planlæg opdateringen på et tidspunkt med begrænset telefontrafik, men udskyd den ikke unødigt.
Vi bruger en leverandør til at drifte vores Issabel-system. Hvad gør vi?
Kontakt leverandøren og bed om skriftlig bekræftelse på, at Issabel Framework er opdateret til en version efter commit b97dbaf, og at adgangskoder er skiftet efter opdateringen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Issabel Framework, the web framework supporting Issabel PBX software, before commit b97dbaf contains a hard-coded HS256 JWT signing key in the pbxapi index.php file that is identical across every installation, allowing unauthenticated remote attackers to forge valid bearer tokens. Attackers can use the forged token to call the manager originate endpoint with the System application parameter, causing Asterisk to execute arbitrary OS commands as the Asterisk user. Exploitation evidence was first observed by the Shadowserver Foundation on 2026-09-09.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.