【資安漏洞預警】Sangoma旗下電話管理系統FreePBX存在重大資安漏洞(CVE-2025-66039)

【行政公告】

公告單位	圖資處數位服務組
訊息類別	行政公告行政公告	公告對象	全體
公告主題	【資安漏洞預警】Sangoma旗下電話管理系統FreePBX存在重大資安漏洞(CVE-2025-66039) [Security Vulnerability Alert] Sangoma's FreePBX telephone management system has a critical cybersecurity vulnerability (CVE-2025-66039).
公告內容	轉發台灣電腦網路危機處理暨協調中心資安訊息警訊 TWCERTCC-200-202512-00000008 [內容說明] FreePBX是Sangoma旗下開源IP電話管理系統，包含管理網路電話、來電轉接、會議功能等。近期FreePBX發布重大資安公告，指出系統的模組FreePBX Endpoint Manager存在身分驗證錯誤漏洞(CVE-2025-66039，CVSS 4.x：9.3)，若身份驗證類型設定為「webserver」時，該模組存在身分驗證繞過漏洞；若Authorization標頭的値為任意，無論憑證是否有效，都會把session導向目標使用者。 [影響平台] ● FreePBX 16.0.44版本(不含)之前版本 ● FreePBX 17.0.23版本(不含)之前版本 [建議措施] 請更新至以下版本： FreePBX 16.0.44版本、 FreePBX 17.0.23版本 [參考資料] https://www.twcert.org.tw/tw/cp-169-10582-80c21-1.html Forwarded from Taiwan Computer Network Crisis Management and Coordination Center: Cybersecurity Alert TWCERTCC-200-202512-00000008 [Content Description] FreePBX is an open-source IP telephony management system from Sangoma, including features such as VoIP management, call forwarding, and conferencing. Recently, FreePBX issued a major cybersecurity announcement, indicating that its FreePBX Endpoint Manager module contains an authentication error vulnerability (CVE-2025-66039, CVSS 4.x: 9.3). If the authentication type is set to "webserver," the module has an authentication bypass vulnerability; if the value of the Authorization header is arbitrary, regardless of the validity of the credentials, the session will be redirected to the target user. [Affected Platforms] ● FreePBX versions prior to 16.0.44 ● FreePBX versions prior to 17.0.23 [Recommended Actions] Please update to the following versions: FreePBX 16.0.44, FreePBX 17.0.23 [Reference] https://www.twcert.org.tw/tw/cp-169-10582-80c21-1.html
相關訊息	參考資料
公告時間	2025/12/23 至 2026/6/23	點閱次數	10