Se ha detectado una vulnerabilidad crítica (CVE-2026-46376) en la plataforma de código abierto FreePBX. Este fallo, localizado en el módulo userman del Panel de Control de Usuario (UCP), permite que atacantes no autenticados accedan a los portales de usuario debido al uso de credenciales embebidas (hard-coded). Las versiones afectadas son aquellas anteriores a la 16.0.45 y 17.0.7.

Una vulnerabilidad crítica en la plataforma IP PBX de código abierto FreePBX podría permitir que atacantes no autenticados accedan a los portales de usuario.

El problema, rastreado como CVE-2026-46376, afecta a la interfaz del Panel de Control de Usuario (UCP) debido a credenciales hard-coded (codificadas fijamente) en el módulo userman.

Afecta a las versiones de FreePBX anteriores a 16.0.45 y 17.0.7. Los sistemas que ejecutan versiones obsoletas están en riesgo si tú, como administrador, no has modificado correctamente las credenciales predeterminadas durante la configuración inicial.

Vulnerabilidad de FreePBX

El fallo se deriva del uso de credenciales de ejemplo codificadas fijamente e integradas en la plantilla genérica de UCP durante el proceso de instalación.

Aunque es opcional y está diseñado para simplificar el despliegue, esta configuración puede crear un riesgo de seguridad grave si no cambias las credenciales predeterminadas después de la inicialización.

Una vez configurada la plantilla, estas credenciales pueden permanecer activas, permitiendo que usuarios no autenticados inicien sesión en el UCP sin una autenticación válida.

Cabe destacar que los atacantes no necesitan acceso previo, privilegios ni interacción del usuario para explotar este problema, lo que lo hace altamente peligroso en entornos expuestos.

La vulnerabilidad está categorizada bajo CWE-798 (Uso de Credenciales Hard-coded), una debilidad bien conocida que a menudo conduce a accesos no autorizados.

A la vulnerabilidad se le ha asignado una puntuación base CVSS v4 de 9.1 (Crítica), lo que indica un alto nivel de riesgo.

El vector de ataque es basado en red y de baja complejidad, y su explotación no requiere autenticación.

Una explotación exitosa podría provocar:

• Acceso no autorizado a cuentas de usuario a través de la interfaz UCP.
• Exposición de datos sensibles del usuario.
• Posible manipulación de los ajustes y configuraciones del usuario.

Si bien la vulnerabilidad no afecta directamente a la disponibilidad del sistema, su impacto en la confidencialidad y la integridad se califica como alto.

La vulnerabilidad fue divulgada públicamente bajo el aviso GHSA-m55x-h47x-v3gx por el investigador de seguridad chrsmj.

Los desarrolladores de FreePBX han lanzado parches para solucionar el problema. Te recomendamos encarecidamente que actualices inmediatamente:

• Si usas FreePBX 16, debes actualizar a la versión 16.0.45 o posterior.
• Si usas FreePBX 17, debes actualizar a la versión 17.0.7 o posterior.

Las medidas de seguridad adicionales incluyen:

• Asegurarte de que todas las credenciales predeterminadas o de plantilla se cambien durante la instalación.
• Restringir el acceso al Panel de Control del Administrador (ACP) mediante VPN, MFA o SAML.
• Utilizar el módulo de Firewall de FreePBX para limitar el acceso al UCP y ACP a direcciones IP confiables.
• Bloquear el acceso desde redes no confiables o hostiles.

También deberías auditar los despliegues existentes para identificar sistemas donde las plantillas de UCP fueron habilitadas sin cambios en las credenciales.

La vulnerabilidad surgió de un cambio de código introducido en 2021 y fue reportada por el investigador s0nnyWT, coordinada por chrsmj, con la remediación desarrollada por Sangoma.

Dada su facilidad de explotación y su alto impacto, esta vulnerabilidad subraya los riesgos constantes que suponen las configuraciones predeterminadas inseguras. Resalta la necesidad de que apliques prácticas estrictas de gestión de credenciales en los sistemas empresariales.