오픈소스 통합 커뮤니케이션 소프트웨어인 Issabel Framework에서 치명적인 보안 취약점(CVE-2026-89026)이 발견되어 실제 공격에 악용되고 있습니다. 이 취약점은 소프트웨어 코드 안에 모든 설치본이 동일하게 공유하는 JWT(로그인 없이도 시스템에 명령을 내릴 수 있게 해주는 인증 토큰) 서명 키가 하드코딩되어 있어, 공격자가 인증 없이 서버 운영체제(OS)에 임의 명령을 실행할 수 있습니다. 보안기관 Shadowserver Foundation은 2026년 9월 9일부터 실제 공격이 시작된 것을 확인했습니다. 패치는 2026년 8월 1일에 배포되었으므로, Issabel Framework 사용자는 즉시 최신 버전으로 업데이트해야 합니다.
Issabel Framework의 pbxapi index.php 파일에 모든 설치본에 동일하게 적용된 하드코딩 JWT 서명 키가 존재하며, 이를 이용해 인증 없이 OS 명령을 원격 실행할 수 있는 취약점(CVE-2026-89026)이 실제 공격에 악용되고 있음.
CVSS v3.1 점수 9.8의 치명적 취약점으로, 인증되지 않은 원격 공격자가 Asterisk 프로세스 권한으로 서버에 임의 명령을 실행할 수 있음. 현재 공격 주체·규모·구체적 피해 현황은 미상.
소스 코드에 고정값 JWT 서명 키('da893kasdfam43k29akdkfaFFlsdfhj23rasdf')가 하드코딩되어 있어, 누구든 이 키를 이용해 유효한 인증 토큰을 위조한 뒤 /pbxapi/manager/originate 엔드포인트를 호출 가능.
2026년 8월 1일 패치 배포 완료. 하드코딩된 키를 /etc/issabel.conf 파일에 저장된 고유 키로 교체하는 방식으로 수정됨. VulnCheck 및 Shadowserver Foundation이 악용 현황을 모니터링 중.
Issabel Framework를 사용하는 VoIP·PBX 환경은 즉시 최신 패치를 적용해야 하며, 외부에서 /pbxapi/ 엔드포인트로의 접근을 방화벽으로 제한하는 것을 권고함.
본문
Ravie Lakshmanan 2026년 9월 16일 | 취약점 / 웹 보안
오픈소스 통합 커뮤니케이션 PBX 소프트웨어를 위한 웹 기반 프레임워크인 Issabel Framework에서 치명적인 보안 취약점이 발견되어 현재 적극적으로 악용되고 있습니다.
해당 취약점은 CVE-2026-89026 (CVSS v3.1 점수: 9.8 / CVSS v4.0 점수: 9.3)으로, 하드코딩된 JSON Web Token(JWT) 서명 키를 악용해 인증되지 않은 원격 공격자가 임의의 운영체제(OS) 명령을 실행할 수 있습니다.
VulnCheck는 보안 경보를 통해 "Issabel Framework의 pbxapi index.php 파일에 모든 설치본에 동일하게 적용된 HS256 JWT 서명 키가 하드코딩되어 있어, 인증되지 않은 원격 공격자가 유효한 베어러(bearer) 토큰을 위조할 수 있다"고 밝혔습니다.
"공격자는 위조된 토큰을 사용해 System 애플리케이션 파라미터와 함께 /pbxapi/manager/originate 엔드포인트를 호출함으로써, Asterisk가 Asterisk 사용자 권한으로 임의의 OS 명령을 실행하도록 유도할 수 있습니다."
이 취약점에 대한 패치는 2026년 8월 1일에 배포되었으며, 하드코딩된 JWT 키(da893kasdfam43k29akdkfaFFlsdfhj23rasdf)를 /etc/issabel.conf 파일에 저장된 JWT 키로 교체하는 방식으로 결함을 수정합니다.
해당 사이버보안 기업에 따르면, Shadowserver Foundation은 2026년 9월 9일부터 CVE-2026-89026의 악용 사례를 처음으로 관측하기 시작했습니다. 다만 현재까지 이 취약점이 실제 공격에서 어떻게 악용되고 있는지, 배후 세력이 누구인지, 공격 규모가 어느 정도인지에 대한 구체적인 정보는 밝혀지지 않았습니다.
Issabel Framework 사용자는 최적의 보호를 위해 즉시 최신 패치를 적용할 것을 권고합니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
