Picus Security identifierar kritiska sårbarheter i FreePBX

Picus Security har identifierat flera kritiska säkerhetssårbarheter i FreePBX, en populär open source-lösning för hantering av IP-PBX-system som används globalt av företag. De upptäckta sårbarheterna, kodade som CVE-2025-66039, CVE-2025-61675 och CVE-2025-61678, kan i kombination ge angripare fullständig kontroll över drabbade system.

FreePBX är en vital komponent i många företags röstkommunikationsinfrastruktur. Dess behov av hög tillgänglighet och öppen anslutning gör det till ett attraktivt mål för cyberattacker. Picus Securitys analys avslöjade en autentiseringsbypass-sårbarhet (CVE-2025-66039), flera autentiserade SQL-injektionsbrister (CVE-2025-61675) och en autentiserad sårbarhet för godtycklig filuppladdning som leder till exekvering av fjärrkod (CVE-2025-61678).

Autentiseringsbypass-sårbarheten (CVE-2025-66039) är särskilt allvarlig, då den tillåter obehöriga angripare att kringgå inloggningsmekanismer. När denna brist är utnyttjad kan angripare sedan kedja den med andra sårbarheter, som SQL-injektioner eller filuppladdningar, för att uppnå fullständig fjärrkontroll över systemet.

SQL-injektionsbristema finns i modulen för Endpoint Management, vilket ger angripare möjlighet att läsa från eller skriva till systemets databas. Sårbarheten för godtycklig filuppladdning tillåter angripare att ladda upp skadliga filer, såsom webbskal, till FreePBX-servern. Detta ger dem möjlighet att exekvera godtycklig kod och därmed ta kontroll över systemet.

Picus Security rekommenderar starkt att alla FreePBX-användare omedelbart uppdaterar sina system och granskar sin nätverkssäkerhet för att identifiera och åtgärda dessa risker.