FreePBX ha solucionado vulnerabilidades críticas que permiten eludir la autenticación y ejecutar código de forma remota en su módulo Endpoint Manager. Descubiertas por investigadores de Horizon3.ai, estas fallas afectan a las configuraciones de los terminales telefónicos en el sistema IP PBX de código abierto. Los investigadores identificaron tres problemas de alta gravedad distintos del CVE-2025-57819 anterior, que fue añadido al catálogo de Vulnerabilidades Conocidas Explotadas de CISA. 

FreePBX ha solucionado vulnerabilidades críticas que permiten el bypass de autenticación y la ejecución remota de código en su módulo Endpoint Manager. Descubiertas por investigadores de Horizon3.ai, estos fallos afectan a las configuraciones de los endpoints de telefonía en el sistema IP PBX de código abierto.

Los investigadores identificaron tres problemas de alta severidad distintos al CVE-2025-57819 anterior, que fue añadido al catálogo de Vulnerabilidades Conocidas Explotadas de CISA. CVE-2025-66039 permite el bypass de autenticación cuando se habilita el tipo de autorización "webserver", permitiendo encabezados Basic Auth falsificados con un nombre de usuario válido y una contraseña arbitraria para acceder a endpoints protegidos.

Esto se combina con CVE-2025-61675, que involucra múltiples inyecciones SQL en los endpoints basestation, firmware, model basefile y custom extension, afectando a 11 parámetros para el acceso de lectura/escritura a la base de datos. CVE-2025-61678 permite la carga de archivos arbitrarios a través del endpoint de firmware, permitiendo la implementación de webshells PHP para la ejecución de comandos.

Las vulnerabilidades en conjunto permiten a atacantes no autenticados ejecutar código arbitrario en instancias vulnerables, lo que supone un riesgo significativo para la infraestructura de comunicación empresarial.

Bypass de Autenticación vía Encabezados Falsificados

La primera vulnerabilidad, CVE-2025-66039, es un bypass de autenticación que afecta a las implementaciones de FreePBX configuradas con autenticación de tipo webserver.

Los atacantes pueden falsificar un encabezado de Autorización con credenciales de autenticación HTTP Basic, eludiendo las comprobaciones de seguridad que dependen de la verificación a nivel de Apache.

Aunque este tipo de autenticación no es la configuración predeterminada, las organizaciones que lo utilizan siguen estando gravemente expuestas.

Los investigadores de Horizon3.ai descubrieron que al combinar este bypass con el módulo de Gestión de Endpoints, los atacantes pueden explotar múltiples vulnerabilidades de inyección SQL (CVE-2025-61675).

Cuatro endpoints únicos y once parámetros se ven afectados, lo que permite a los atacantes leer, modificar o eliminar entradas de la base de datos.

Estas inyecciones SQL permiten a los actores maliciosos insertar usuarios administrativos en la tabla ampusers o ejecutar comandos del sistema operativo a través de la tabla cron_jobs.

La Carga de Archivos Arbitrarios Permite la Ejecución Remota de Código

El tercer fallo crítico, CVE-2025-61678, involucra una vulnerabilidad de carga de archivos arbitrarios en la funcionalidad de carga de firmware.

Los atacantes pueden manipular las rutas de los archivos y cargar webshells PHP sin una validación adecuada, lo que resulta en una ejecución remota de código no autenticada.

Los investigadores de Horizon3.ai demostraron con éxito la carga y ejecución de un shell PHP que proporcionó acceso completo al sistema. FreePBX ha lanzado parches que solucionan las tres vulnerabilidades.

Las organizaciones que utilizan las versiones 16.x o 17.x deben actualizar inmediatamente a 16.0.92 y 17.0.6 para solucionar los problemas de inyección SQL y carga de archivos, y a 16.0.42 y 17.0.22 para solucionar el bypass de autenticación.

Además, FreePBX eliminó la opción de autenticación de servidor web de la interfaz de usuario y ahora requiere la configuración manual a través de la línea de comandos, activando advertencias en el panel de control cuando se habilita.

Los investigadores de Horizon3.ai recomiendan auditar las instancias de FreePBX en busca de entradas de base de datos sospechosas, usuarios no autorizados en la tabla ampusers y archivos sospechosos en el directorio /var/www/html.

Horizon3.ai aconseja a las organizaciones evitar el uso de la autenticación de servidor web, que se basa en código heredado y mecanismos de seguridad más débiles.