Aanvallers hebben wereldwijd honderden FreePBX-telefooncentrales gehackt, waaronder achttien in Nederland. Daarnaast missen nog duizenden servers de beveiligingsupdate voor een kritieke kwetsbaarheid die de aanvallers voor het compromitteren van centrales gebruiken, zo stelt The Shadowserver Foundation op basis van eigen onderzoek.

FreePBX is software voor het beheren en configureren van telefooncentrales die op Asterisk VoiP-servers draaien. Onlangs werd bekend dat aanvallers een kritieke kwetsbaarheid misbruikten waar op het moment van de aanvallen nog geen beveiligingsupdate voor beschikbaar was. Het gaat om een beveiligingslek aangeduid als CVE-2025-57819, waardoor een aanvaller zonder geldige inloggegevens als Administrator kan inloggen. Vervolgens is remote code execution en het aanpassen van de database via SQL injection mogelijk.

Misbruik zou op of voor 21 augustus hebben plaatsgevonden, aldus het FreePBX-team. Op 28 augustus verscheen er een beveiligingsupdate, nadat er op 26 augustus een tijdelijke fix beschikbaar was gesteld. Beheerders worden opgeroepen de update te installeren en toegang tot FreePBX Administrator-accounts te beperken tot alleen bekende hosts. Ook is technische informatie gepubliceerd waarmee organisaties kunnen kijken of hun FreePBX-telefooncentrale is gecompromitteerd.

The Shadowserver Foundation is een stichting die geregeld onderzoek doet naar kwetsbare en gecompromitteerde systemen die vanaf internet toegankelijk zijn. Bij de laatste scan werd gekeken naar FreePBX-centrales. Een dag na het uitkomen van de beveiligingsupdate bleek dat 6600 servers toegankelijk vanaf het internet nog kwetsbaar waren, waarvan 147 in Nederland. Het grootste deel van de kwetsbare centrales werd in de Verenigde Staten waargenomen. Verder registreerde The Shadowserver Foundation zo'n vierhonderd gecompromitteerde centrales, waarvan achttien in Nederland. De stichting adviseert beheerders om hun systemen te patchen en op sporen van aanvallers te controleren.