Im Zentrum der Schwachstelle steht ein Konstruktionsfehler, der in der Praxis so schwer wiegt wie ein hinterlegtes Generalpasswort: Das Issabel Framework enthält in der Datei index.php der Komponente pbxapi einen fest einprogrammierten HS256-Signaturschlüssel für JSON Web Tokens. Weil dieser Schlüssel laut VulnCheck über sämtliche Installationen hinweg identisch ist, können unauthentifizierte Angreifer aus der Ferne gültige Bearer-Token selbst erzeugen.
Mit einem solchen gefälschten Token lässt sich der Endpunkt “/pbxapi/manager/originate” der Manager-Schnittstelle ansprechen. Übergeben Angreifer dabei den Parameter für die System-Anwendung, führt Asterisk beliebige Betriebssystembefehle aus — und zwar mit den Rechten des Asterisk-Benutzers. VulnCheck beschreibt den Ablauf in einer Warnmeldung: Der hart kodierte Schlüssel erlaube das Fälschen gültiger Token, und über den originate-Endpunkt lasse sich daraus eine Befehlsausführung machen.
Die Einstufung fällt entsprechend hoch aus: CVE-2026-89026 erreicht 9.8 Punkte nach CVSS v3.1 und 9.3 Punkte nach CVSS v4.0. Für eine Telefonanlage, die typischerweise tief in der internen Kommunikationsinfrastruktur verankert ist, bedeutet das einen vollständigen Kontrollverlust über das betroffene System, sobald die Schnittstelle erreichbar ist.
Die Korrektur wurde am 1. August 2026 veröffentlicht. Sie ersetzt den bisherigen statischen Schlüssel — die Zeichenkette “da893kasdfam43k29akdkfaFFlsdfhj23rasdf” — durch einen individuellen Schlüssel, der in der Datei “/etc/issabel.conf” abgelegt wird. Damit ist der zentrale Angriffsweg geschlossen, weil sich Token nicht länger anhand eines allgemein bekannten Geheimnisses berechnen lassen.
Dass die Lücke inzwischen praktisch ausgenutzt wird, geht auf Beobachtungen der Shadowserver Foundation zurück, die laut VulnCheck am 9. September 2026 erstmals entsprechende Aktivität registrierte. Zu den Hintergründen ist bislang wenig bekannt: Weder liegen Details dazu vor, wie die Schwachstelle in konkreten Angriffen missbraucht wird, noch gibt es Angaben zu den Verantwortlichen oder zum Ausmaß der Kampagne.
Nutzern des Issabel Framework empfiehlt VulnCheck, die aktuellen Fixes einzuspielen.