CVE-2026-54708: критическая RCE через обход путей в модуле резервного копирования FreePBX
В FreePBX обнаружена критическая уязвимость обхода путей в модуле резервного копирования, позволяющая аутентифицированному злоумышленнику выполнить произвольный код на сервере. Проблема затрагивает версии ниже 16.0.72 и 17.0.7, её уровень по CVSS составляет 8.6 (HIGH). Уязвимость уже устранена в актуальных релизах.
Подробности
Уязвимость затрагивает модуль резервного копирования FreePBX. По данным CVE Project, ей подвержены версии ниже 16.0.72 и 17.0.7. Базовый балл CVSS составляет 8.6, что соответствует высокому уровню опасности. Причина проблемы — некорректная обработка путей (path sanitization) в механизме восстановления резервных копий. Из-за отсутствия должной проверки путей злоумышленник может загрузить вредоносный PHP-файл в корневую директорию веб-сервера. Последующее обращение к этому файлу приводит к выполнению произвольного кода (Remote Code Execution) в контексте веб-сервера. Для эксплуатации необходимо пройти аутентификацию: атакующему требуется известное имя пользователя с достаточными правами доступа и/или правом записи в файлы резервных копий. Это несколько снижает вероятность массовых атак, однако в compromised-сценариях (например, при утечке учётных данных или наличии инсайдера) уязвимость становится крайне опасной и позволяет полностью скомпрометировать сервер IP-телефонии.Что делать
Производитель выпустил исправление. Рекомендуется: - Обновить FreePBX до версии 16.0.72 или 17.0.7 (и выше). Это основной и наиболее надёжный способ устранения уязвимости. - Если немедленное обновление невозможно, ограничить доступ к административному интерфейсу FreePBX и модулю резервного копирования на уровне сетевой инфраструктуры (firewall, VPN, ACL). - Провести ревизию учётных записей с правами доступа к резервным копиям: удалить неиспользуемые, сменить пароли, включить многофакторную аутентификацию. - Проверить веб-корень на наличие подозрительных PHP-файлов и проанализировать логи на предмет аномальной активности восстановления резервных копий. Итог: CVE-2026-54708 — серьёзная уязвимость удалённого выполнения кода в FreePBX, требующая аутентификации, но способная привести к полной компрометации сервера. Патчи доступны, и администраторам следует как можно быстрее обновить систему до версий 16.0.72 или 17.0.7, а также усилить контроль доступа к административным функциям.Источник: CVE Project (cvelistV5)