Een ernstige kwetsbaarheid in FreePBX (CVE-2025-57819) wordt momenteel actief misbruikt. Beheerders wordt geadviseerd direct actie te ondernemen. FreePBX is een open-source telefonieplatform op basis van Asterisk, veelgebruikt binnen mkb-omgevingen vanwege de flexibiliteit en lage kosten. Ook in Nederland wordt het regelmatig ingezet, met name door IT- en telecomdienstverleners die maatwerkoplossingen leveren voor VoIP.
De kwetsbaarheid treft versies 15, 16 en 17 van FreePBX en stelt aanvallers in staat ongeautoriseerde toegang te verkrijgen en mogelijk willekeurige code uit te voeren. FreePBX meldt actief misbruik op systemen waarbij de managementinterface openstaat naar het internet zonder adequate IP-filtering of ACLs (Access Control Lists). De dreiging is geclassificeerd als ‘High/High’, wat duidt op een hoge kans op misbruik én potentieel grote schade.
Updates FreePBX
FreePBX heeft inmiddels beveiligingsupdates beschikbaar gesteld. Organisaties wordt geadviseerd om:
- Direct te controleren of de geïnstalleerde endpoint-module is bijgewerkt naar de minimaal gepatchte versie.
- Alleen beheer op afstand toe te staan via specifieke IP-adressen en idealiter via VPN.
- IOC’s (Indicators of Compromise) op te vragen via de website van FreePBX en systemen te controleren op sporen van misbruik.
- Voor organisaties zonder automatische updates is handmatige installatie mogelijk via het Administrator Control Panel.
Het Digital Trust Center (DTC) adviseert organisaties die FreePBX inzetten, met name in het mkb, om hun systemen onmiddellijk te patchen en hun netwerkconfiguratie onder de loep te nemen. Het rechtstreeks koppelen van de beheerinterface aan het internet wordt als onveilig beschouwd, tenzij dit strikt wordt beperkt.
Cyberweerbaarheidssubsidie beschikbaar
Bedrijven die hulp nodig hebben bij patch-management kunnen tijdelijk gebruikmaken van de subsidieregeling Mijn Cyberweerbare Zaak. Deze dekt tot 50 procent van de kosten voor de implementatie van essentiële beveiligingsmaatregelen, waaronder updatestrategieën.
