オープンソースPBX「Issabel Framework」に深刻な脆弱性、ハードコードされた署名鍵の悪用により任意OSコマンド実行が可能に

要点

• オープンソースの統合コミュニケーションPBX向けWeb基盤「Issabel Framework」において、未認証のリモート攻撃者が任意のOSコマンドを実行できる深刻な脆弱性（CVE-2026-89026）が判明した。

• API関連ファイル内に全環境共通のJWT署名鍵が直接記述されていたことが原因で、認証トークンの偽造を通じてAsterisk経由でコマンドが実行される恐れがある。

• 脆弱性の重要度を示すCVSSスコアは、v3.1で9.8、v4.0で9.3と極めて高い危険度と評価されている。

• 2026年8月1日に設定ファイル参照方式へと切り替える修正パッチが公開されたものの、同年9月9日にはセキュリティ組織によって実際の悪用が初めて観測された。

• オープンソースのPBX（構内交換機）ソフトウェア向けWebフレームワーク「Issabel Framework」において、認証を経ずに遠隔からOSコマンドを実行できる重大な脆弱性が確認され、すでに実際の攻撃において悪用が始まっていることが明らかになった。セキュリティ企業VulnCheckのアラートなどの情報をもとに、The Hacker Newsが2026年9月16日に報じた。

• 本脆弱性は「CVE-2026-89026」として採番されており、脆弱性の深刻度を評価するCVSS（共通脆弱性評価システム）のスコアは、バージョン3.1で「9.8」、バージョン4.0で「9.3」と算出されている。

脆弱性の概要と対象システム

Issabel Frameworkは、オープンソースの統合コミュニケーションPBXソフトウェアを管理・運用するためのWebベースのフレームワークである。PBX（Private Branch Exchange）とは、企業などの組織内で複数の電話機を接続し、内線通話や外線との発着信を制御するシステムを指す。

今回判明したCVE-2026-89026は、悪意のある第三者が認証情報を一切持たない状態（未認証）であっても、ネットワーク経由でサーバーへ介入し、任意のOSコマンドを実行（RCE）できてしまうというものである。CVSSスコアが9点台後半という最大値に近い評価を受けていることからも、システム全体への深刻な侵害につながる危険な欠陥であることが示されている。

ハードコードされた署名鍵によるトークン偽造の仕組み

セキュリティ企業のVulnCheckが公開したアドバイザリによると、本脆弱性の根本的な要因は、フレームワーク内に認証鍵がハードコード（プログラムのコード内に直接記述すること）されていた点にあるという。

具体的には、Issabel Frameworkの「pbxapi」機能に含まれる「index.php」ファイル内に、署名アルゴリズムHS256で使用されるJWT（JSON Web Token：Web上で安全にデータをやり取りするための認証トークン規格）の署名鍵が埋め込まれていた。この署名鍵はインストール環境ごとに個別に生成される仕様ではなく、すべての導入環境において同一の文字列が共通して使われていた。

コード内に記述されていた署名鍵は「da893kasdfam43k29akdkfaFFlsdfhj23rasdf」という固定値であったことが確認されている。攻撃者はこの共通鍵をそのまま用いることで、正当な権限を持たないにもかかわらず、システムに有効と判定される偽造のBearerトークン（認証用トークン）を自由に作成できる状態となっていた。

遠隔からコマンド実行に至る攻撃経路

VulnCheckの分析によれば、攻撃者は偽造したBearerトークンを利用してIssabel Frameworkの特定のAPIエンドポイントへ不正なリクエストを送信する。

具体的には、「/pbxapi/manager/originate」というマネージャー向けエンドポイントを呼び出し、その際にアプリケーションパラメータとして「System」を指定する。これにより、電話交換処理を担う中核ソフトウェアであるAsteriskが呼び出され、システム内で動作するAsteriskユーザーの権限のもとで、攻撃者が指定した任意のOSコマンドが実行されるという。

この結果、攻撃者はターゲットとなるサーバーの正当なログイン情報を一切持たずとも、外部からOSレベルの操作を行える状態に陥る。

修正パッチの適用内容

この欠陥に対し、Issabel Frameworkの開発元は2026年8月1日に修正パッチを公開し、問題の解決を図っている。

パッチでは、プログラムファイル内に直接書き込まれていた固定のJWT署名鍵が削除された。代わりに、ローカル環境の設定ファイルである「/etc/issabel.conf」内に保存された個別のJWTキーを読み込んで署名を検証する方式へと変更されている。これにより、外部から推測可能な共通鍵を用いて認証トークンが偽造される問題が解消された。

悪用の観測と攻撃の現状

パッチが公開された後、インターネット上の脅威を監視しているセキュリティ組織「The Shadowserver Foundation」により、2026年9月9日にCVE-2026-89026を標的とした実際の悪用活動が初めて観測された。

ただし、現時点において、現実の攻撃において本脆弱性が具体的にどのように悪用されているのか、攻撃を行っている主体の素性、および攻撃活動の全体的な規模といった詳細については判明していないという。

こうした状況を受け、Issabel Frameworkを利用しているユーザーに対しては、潜在的な攻撃から保護するために最新の修正パッチを速やかに適用することが推奨されている。