科技資安
Issabel PBX 共用簽章金鑰釀重大漏洞，已有攻擊者實際利用
結論先講：使用 Issabel 企業電話平台的單位應立即確認版本並更新。漏洞讓未登入的攻擊者有機會偽造權杖，進一步執行作業系統指令。風險不是理論推演，監測組織已看到實際利用。
9.8
CVSS 嚴重性評分
9/9
首次觀察到實際利用
8/1
官方提交修補程式碼
[ 3 個快取重點 ]
01
漏洞編號為 CVE-2026-89026，影響未納入指定修補提交的版本。
02
攻擊者可利用共用 JWT 簽章金鑰偽造權杖，再呼叫管理端點。
03
各組織實際暴露範圍仍取決於部署方式，必須逐台盤點。
01漏洞為何危險
企業語音系統通常連著內部網路；一旦未經驗證即可執行指令，電話服務的漏洞可能變成進入其他系統的跳板。
01 修補時間軸
8 月 1 日
Issabel 提交修補程式碼
9 月 9 日
Shadowserver 觀察到實際利用
現在
管理者應確認版本並更新
空心節點代表仍待各單位執行的修補工作。
02你該看什麼
先確認 Issabel Framework 是否早於修補提交，再檢查對外暴露、異常權杖與系統指令紀錄。只封鎖單一來源位址，無法取代更新。
Bottom line
通訊平台的便利性越高，預設共用祕密造成的單點風險就越大。
- 原始報導
- iThome
- 改寫方式
- 快取新聞不轉載原文。我們讀完原始報導後，用自己的話重寫成結論、三個重點與一張圖。數字均取自上列來源，未經我們獨立查證。
- 單位
- 「pt」為百分點，指兩個百分比的差，不是成長率。標示「預估」或斜線紋樣者為推估值，非已實現數字。
更正紀錄本篇尚無更正。若你發現錯誤，寫信到 corrections@cachenews.tw，我們會在文末公開記錄更正內容與時間。