A Shadowserver Foundation revelou que mais de 900 instâncias do Sangoma FreePBX ainda estão infetadas com web shells como parte de ataques que exploraram uma vulnerabilidade de injeção de comandos a partir de dezembro de 2025.
Até agora sem nenhum reporte oficial em Moçambique, contudo o Sangoma FreePBX é amplamente adotado por empresas voltadas ao atendimento de clientes via chamadas telefônicas.
A organização sem fins lucrativos afirmou que as intrusões foram provavelmente realizadas através da exploração da vulnerabilidade CVE-2025-64328 (pontuação CVSS: 8,6), uma falha de segurança de alta gravidade que poderia permitir a injeção de comandos após a autenticação.
“O impacto é que qualquer utilizador com acesso ao painel de administração do FreePBX poderia explorar esta vulnerabilidade para executar comandos arbitrários no host subjacente”, afirmou a FreePBX num aviso sobre a falha em novembro de 2025. “Um atacante poderia explorar isto para obter acesso remoto ao sistema como o utilizador asterisk.”
A vulnerabilidade afeta versões do FreePBX superiores à 17.0.2.36, inclusive. Foi corrigida na versão 17.0.3. Como medidas de mitigação, recomenda-se a adição de controlos de segurança para garantir que apenas os utilizadores autorizados têm acesso ao Painel de Controlo do Administrador (ACP) do FreePBX, restringir o acesso ao ACP a partir de redes hostis e atualizar o módulo de armazenamento de ficheiros para a versão mais recente.
Desde então, a vulnerabilidade tem sido ativamente explorada em ataques reais, o que levou a Agência de Segurança Cibernética e de Infraestruturas dos EUA (CISA) a adicioná-la ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) no início deste mês.
Num relatório publicado no final do mês passado, a Fortinet FortiGuard Labs revelou que o agente malicioso por detrás da operação de fraude cibernética com o nome de código INJ3CTOR3 tem vindo a explorar a vulnerabilidade CVE-2025-64328 desde o início de dezembro de 2025 para distribuir um web shell com o nome de código EncystPHP.
“Ao utilizar os contextos administrativos do Elastix e do FreePBX, o web shell opera com privilégios elevados, permitindo a execução de comandos arbitrários no host comprometido e iniciando chamadas de saída através do ambiente PBX”, observou a empresa de cibersegurança.
Recomenda-se que os utilizadores do FreePBX atualizem as suas instalações para a versão mais recente o mais rapidamente possível para combater as ameaças ativas.