CVE-2026-89026

总结

Issabel Framework 是支持 Issabel PBX 软件的 Web 框架，在提交 b97dbaf 之前，其 pbxapi index.php 文件中包含一个硬编码的 HS256 JWT 签名密钥，该密钥在所有安装中完全相同，使得未经身份验证的远程攻击者能够伪造有效的 bearer 令牌。攻击者可以利用伪造的令牌调用 manager originate 端点并传入 System 应用程序参数，从而导致 Asterisk 以 Asterisk 用户身份执行任意操作系统命令。Shadowserver Foundation 于 2026-09-09 首次观察到利用证据。

• CVE-2026-89026PoC

  针对 CVE-2026-89026 的 PoC 漏洞利用与扫描器，通过伪造的 HS256 JWT 在单个或列出的目标上验证 Issabel PBXAPI 身份验证绕过。

• CVE-2026-89026PoC

  Python PoC，通过伪造硬编码的 HS256 JWT 来利用 Issabel pbxapi 中的 CVE-2026-89026，从而通过 originate 端点实现未经身份验证的远程操作系统命令执行。