Stara luka w FreePBX pozwala wejść do panelu centrali telefonicznej bez hasła, a przestępcy dzwonią z niej na drogie numery na koszt firmy. CISA potwierdza ataki. Odetnij panel od internetu i zaktualizuj moduł Framework.
Ten alert jest dla zarządu, CTO i CFO firm, które mają centralę telefoniczną opartą na FreePBX lub PBXact firmy Sangoma, często wdrożoną przez integratora telefonii. Werdykt: jeśli panel administracyjny centrali jest dostępny z internetu, a moduł Framework ma wersję 13.0.197.13, 14.0.13.11, 15.0.16.26 lub starszą, odetnij panel od internetu i zaktualizuj moduł dziś, bo luka jest masowo wykorzystywana do przejmowania central i dzwonienia na koszt ofiary.
Amerykańska agencja CISA 3 lutego 2026 roku dopisała podatność CVE-2019-19006 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd opisano w listopadzie 2019 roku, a już w 2020 roku Check Point Research opisał kampanię, w której przestępcy przejmowali przez niego centrale na całym świecie.
Luka pozwala obejść hasło przy logowaniu do panelu administracyjnego FreePBX. Według analizy Check Point wystarczy wysłać parametr hasła w nietypowej postaci (jako element tablicy), a serwer zostawia aktywną sesję wybranego użytkownika, także administratora. Napastnik bez żadnego hasła dostaje pełną kontrolę nad centralą.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 24 lutego 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2019-19006 (biuletyn producenta SEC-2019-001) |
Data dodania do CISA KEV | 2026-02-03 |
Termin naprawy wg CISA | 2026-02-24 (21 dni od wpisu) |
Produkt | Sangoma FreePBX i PBXact (oprogramowanie centrali telefonicznej opartej na Asterisk), moduł Framework |
Wersje zagrożone | Moduł Framework od 13.0.0.0 do 13.0.197.13, od 14.0.0.0 do 14.0.13.11 i od 15.0.0.0 do 15.0.16.26 (włącznie). Opis tekstowy w NVD podaje błędnie „115.0.16.26”; właściwa granica to 15.0.16.26. Realnie zagrożone są centrale z panelem administracyjnym dostępnym dla napastnika |
Wersje bezpieczne | Moduł Framework 13.0.197.14, 14.0.13.12, 15.0.16.27 i nowsze (wydane 20 listopada 2019). Wersję sprawdza się w Admin, Module Admin albo poleceniem |
Typ podatności | Obejście uwierzytelnienia; CWE-287 (niepoprawne uwierzytelnianie) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1) wg NVD i CISA; 7.5 WYSOKA w starszej skali CVSS 2.0 (NVD). Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie recepcję, w której recepcjonista najpierw wręcza gościowi klucz do pokoju z nazwiskiem, które gość podał, a dopiero potem sprawdza hasło. Jeśli hasło się nie zgadza, recepcjonista miał odebrać klucz. Problem w tym, że gdy gość poda hasło w dziwnej formie, na przykład na kartce złożonej w kostkę, recepcjonista się gubi, przerywa sprawdzanie i zapomina odebrać klucz. Gość wchodzi do pokoju dyrektora.
Tak właśnie działało logowanie w podatnym FreePBX. A przejęta centrala telefoniczna to dla przestępcy gotowe źródło dochodu: może z niej dzwonić na płatne numery o podwyższonej opłacie, których jest właścicielem lub wspólnikiem, a rachunek płaci firma. Do tego centrala zna hasła numerów wewnętrznych, dane dostępowe do operatora (trunku SIP) i historię połączeń.
💡 Centrala IP (PBX) to serwer, który obsługuje firmowe telefony, numery wewnętrzne, kolejki i pocztę głosową. FreePBX to panel do zarządzania centralą Asterisk. Trunk SIP to łącze do operatora, przez które centrala dzwoni na zewnątrz. Fraud telekomunikacyjny to nadużycie polegające na generowaniu kosztownych połączeń z cudzej centrali. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Logowanie do panelu centrali | Wymaga poprawnego hasła | Wystarczy spreparowane żądanie, hasło bez znaczenia |
Numery wewnętrzne | Zakłada je administrator | Napastnik zakłada własne i poznaje hasła istniejących |
Połączenia wychodzące | Tylko pracownicy, zwykłe kierunki | Nocne i weekendowe połączenia na drogie numery zagraniczne |
Dane dostępowe do operatora | Znane tylko administratorowi | Mogą zostać odczytane z plików konfiguracyjnych |
Panel dostępny tylko z sieci firmowej | Obcy nie widzą panelu | Atak możliwy tylko z wnętrza sieci |
źródło: magnific.comPoniżej typowy przebieg ataku oparty na opisie kampanii INJ3CTOR3 przez Check Point Research. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Warunkiem jest dostęp do panelu administracyjnego centrali, najczęściej wystawionego do internetu. CISA oceniła, że atak da się zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Przeszukiwanie internetu narzędziami do wyszukiwania central SIP (w opisanej kampanii SIPVicious) | Lista central FreePBX |
2. Obejście logowania | T+sekundy | Wysłanie żądania logowania z parametrem hasła w postaci tablicy | Sesja administratora bez hasła |
3. Utrwalenie | T+minuty | Wgranie ukrytych skryptów (web shell) na serwer centrali | Stały dostęp, niezależny od późniejszej aktualizacji |
4. Kradzież danych | T+minuty | Odczyt plików konfiguracyjnych z hasłami do bazy danych i numerów wewnętrznych | Możliwość dzwonienia z każdego numeru wewnętrznego |
5. Testy kierunków | T+godziny | Próbne połączenia z różnymi prefiksami, żeby ustalić, które kierunki są otwarte | Wiedza, jak dzwonić na koszt firmy |
6. Monetyzacja | T+noc lub weekend | Masowe połączenia na numery o podwyższonej opłacie albo sprzedaż dostępu innym | Rachunek telekomunikacyjny wysoki jak roczny koszt telefonii lub wyższy |
Mogę Ci jakoś pomóc?
Centrala telefoniczna rzadko jest traktowana jak serwer wymagający aktualizacji, a jej przejęcie przelicza się na złotówki szybciej niż jakikolwiek wyciek danych. Spór z operatorem o rachunek zwykle kończy się źle dla firmy, bo połączenia faktycznie wyszły z jej urządzenia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zablokowane linie przez operatora, brak możliwości dzwonienia do klientów, odbudowa centrali | Godziny do dni | 5 tys. do 60 tys. PLN (przestój, reinstalacja) |
Bezpieczeństwo danych | Wyciek historii połączeń, poczty głosowej, haseł do numerów i trunku | Minuty od przejęcia | 10 tys. do 80 tys. PLN (analiza, wymiana haseł) |
Finansowy | Rachunek za połączenia wykonane przez przestępców | Jedna noc lub weekend | 10 tys. do 300 tys. PLN, zależnie od limitów u operatora |
Reputacyjny | Klienci nie mogą się dodzwonić; numer firmy może trafić na listy nadużyć | Dni do tygodni | 10 tys. do 150 tys. PLN (utracone zamówienia) |
Prawny | Przy wycieku nagrań lub danych osobowych obowiązek zgłoszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; spór z operatorem o należność | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: FreePBX z modułem Framework bez poprawki
i panelem administracyjnym dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest najwyższe (masowe, zautomatyzowane skanowanie, publiczny opis metody ataku od 2020 roku), a wpływ pełny (kontrola nad centralą i bezpośrednie straty finansowe); centrala z panelem niedostępnym z internetu jest w dużo lepszej sytuacji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma ma centralę FreePBX lub PBXact i czy jej panel administracyjny jest dostępny z internetu | Dziś | CTO / integrator telefonii |
2 | 🔴 NATYCHMIAST | Zablokować dostęp do panelu z internetu (tylko sieć firmowa lub VPN) | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować moduł Framework do 13.0.197.14, 14.0.13.12, 15.0.16.27 lub nowszej | Dziś | Administrator centrali |
4 | 🔴 NATYCHMIAST | Zamówić u operatora blokadę połączeń międzynarodowych i na numery o podwyższonej opłacie, jeśli firma ich nie używa, oraz limit kwotowy | Dziś | CFO / osoba od umowy z operatorem |
5 | 🟠 PILNIE | Przejrzeć konta administratorów, numery wewnętrzne i pliki na serwerze pod kątem nieznanych pozycji i ukrytych skryptów | Do 3 dni | Administrator / zespół bezpieczeństwa |
6 | 🟠 PILNIE | Zmienić hasła do trunku SIP u operatora, hasła numerów wewnętrznych i wymusić ponowne logowanie wszystkich użytkowników (zalecenie producenta) | Do 3 dni | Administrator centrali |
7 | 🟡 WAŻNIE | Sprawdzić, czy gałąź FreePBX jest nadal wspierana, i zaplanować migrację, jeśli nie | Do 30 dni | CTO |
Producent wydał poprawioną wersję modułu Framework dla gałęzi 13, 14 i 15 już w listopadzie 2019 roku. Jeśli z jakiegoś powodu nie da się jej wgrać, najważniejsze jest ograniczenie dostępu do panelu, co producent zaleca także niezależnie od poprawek. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie dostępu do panelu administracyjnego z internetu (zalecenie producenta) | Wysoka: według producenta bez tego zagrożeniem pozostaje tylko ktoś z wnętrza sieci | Łatwa: reguła na zaporze |
Blokada drogich kierunków i limit kwotowy u operatora | Wysoka jako ograniczenie strat finansowych, nie chroni danych | Łatwa: zlecenie do operatora |
Ograniczenie trunku SIP do adresów IP operatora i centrali | Średnia do wysokiej wobec użycia skradzionych danych trunku | Średnia |
Regularny przegląd numerów wewnętrznych i wykazu połączeń | Niska jako ochrona, przydatna do szybkiego wykrycia nadużyć | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Panel administracyjny | Widoczny dla skanerów z całego internetu | Dostępny tylko z sieci firmowej lub VPN |
Logowanie | Możliwe bez hasła | Hasło weryfikowane poprawnie |
Straty przy nadużyciu | Nieograniczone, widoczne dopiero na fakturze | Ograniczone blokadą kierunków i limitem |
Hasła do trunku i numerów | Mogły zostać odczytane | Zmienione |
Wiedza o centrali | Nikt nie wie, kto i kiedy ją aktualizował | Właściciel, wersja i data aktualizacji zapisane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA oceniła wykorzystanie jako aktywne, automatyzowalne, z całkowitym wpływem technicznym |
Grupy przestępcze | Check Point Research w listopadzie 2020 roku powiązał kampanię z aktorem o pseudonimie INJ3CTOR3, który zarabiał na przejętych centralach Asterisk |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD i CISA (CVSS 3.1) |
PoC dostępny publicznie? | TAK: Check Point opisał sposób wykorzystania z przykładowym żądaniem, a NVD oznacza raport Check Point jako zawierający exploit |
Liczba atakowanych firm | Brak publicznych danych liczbowych; Check Point pisał o licznych próbach ataków na czujniki na całym świecie w pierwszej połowie 2020 roku |
Prognoza EPSS | 0,366 (około 37% szansy próby wykorzystania w 30 dni), górne 2% wszystkich podatności (wg analizy źródłowej) |
W wątku z biuletynem producenta z listopada 2019 roku jeden z użytkowników opisał, że przestępcy zdążyli wykonać z jego centrali połączenia do Maroka, zanim nadużycie zostało zauważone. To dobrze pokazuje model biznesowy tych ataków: przejęta centrala jest dla przestępcy cenniejsza działająca niż zaszyfrowana.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2019-19006
CVSS 3.1 (NVD, CISA) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~37% ███████░░░░░░░░░░░░░ WYSOKA
Publiczny opis ataku TAK ████████████████████ od 2020 roku
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2019-11-20 Sangoma publikuje biuletyn SEC-2019-001 i poprawione
moduły Framework 13.0.197.14, 14.0.13.12, 15.0.16.27
2019-11-21 Publikacja CVE-2019-19006 w NVD
2020 (I poł.) Liczne próby ataków obserwowane przez Check Point
2020-11-05 Check Point Research publikuje raport o kampanii INJ3CTOR3
2026-02-03 CISA dodaje lukę do katalogu KEV
2026-02-24 Termin naprawy wg CISA dla agencji federalnych
... prawie 7 lat od wydania poprawki
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami modułu Framework: FreePBX Security Vulnerability SEC-2019-001 . Strona producenta wskazana w KEV: wiki.freepbx.org, 2019-11-20 Remote Admin Authentication Bypass . Raport Check Point: INJ3CTOR3 Operation . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2019-19006 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma ma centralę FreePBX lub PBXact i kto ją utrzymuje | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji modułu Framework i dostępności panelu z internetu | CTO | DZISIAJ |
3 | Zlecić operatorowi blokadę nieużywanych drogich kierunków i limit kwotowy | CFO | DZISIAJ |
4 | Zatwierdzić odcięcie panelu od internetu i aktualizację | CTO | DZISIAJ |
5 | Sprawdzić ostatnie faktury telekomunikacyjne pod kątem nietypowych połączeń | CFO | DO JUTRA |
6 | Zlecić zmianę haseł do trunku SIP i numerów wewnętrznych | CTO | DO JUTRA |
7 | Sprawdzić w umowie z integratorem telefonii, kto odpowiada za aktualizacje centrali | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasza centrala działa na FreePBX lub PBXact? | TAK / NIE | 🔴 |
2 | Jaka jest wersja modułu Framework (Module Admin lub | [wersja] | 🔴 |
3 | Czy panel administracyjny centrali jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Czy u operatora są zablokowane nieużywane kierunki i ustawiony limit kwotowy? | TAK / NIE | 🔴 |
5 | Czy w centrali są konta administratorów lub numery wewnętrzne, których nikt nie zakładał? | TAK / NIE | 🟠 |
6 | Kiedy ostatnio zmieniano hasło do trunku SIP u operatora? | [data] | 🟠 |
7 | Kto odpowiada za aktualizacje centrali i jak często je wykonuje? | [osoba lub firma, częstotliwość] | 🟡 |
CVE-2019-19006 pozwala wejść do panelu centrali FreePBX bez hasła, a przestępcy od lat wykorzystują to do dzwonienia na koszt ofiar. Poprawka istnieje od listopada 2019 roku, a CISA potwierdza ataki, więc odcięcie panelu od internetu, aktualizacja modułu Framework i blokada drogich kierunków u operatora to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.