Beveiligingsonderzoekers hebben een ernstige kwetsbaarheid ontdekt in meerdere Grandstream GXP1600 VoIP-telefoons. Het lek, geregistreerd als CVE-2026-2329, maakt het mogelijk voor een externe aanvaller om zonder authenticatie code uit te voeren op het toestel en gesprekken af te luisteren.
De kwetsbaarheid werd publiek gemaakt door onderzoekers van Rapid7 en heeft een CVSS-score van 9.3 op 10, wat duidt op een kritieke impact. Meer technische details zijn terug te vinden via de National Vulnerability Database (NVD) .
Wat houdt het beveiligingslek in?
De fout bevindt zich in een API-endpoint van de webinterface van het toestel. Dit endpoint kan in bepaalde configuraties zonder authenticatie worden benaderd. Door een speciaal geprepareerd verzoek te sturen kan een stack-based buffer overflow worden veroorzaakt.
Hierdoor kan een aanvaller:
- Remote Code Execution (RCE) uitvoeren met root-rechten
- SIP-gebruikersnamen en wachtwoorden uitlezen
- Een malafide SIP-proxy instellen
- Telefoongesprekken onderscheppen of omleiden
- Het toestel misbruiken als toegangspunt tot het interne netwerk
Welke modellen zijn getroffen?
De kwetsbaarheid treft meerdere toestellen uit de GXP1600-serie, waaronder:
- GXP1610
- GXP1615
- GXP1620
- GXP1625
- GXP1628
- GXP1630
Deze modellen worden veel gebruikt binnen het mkb, callcenters en hospitality-omgevingen.
Waarom is dit risico zo groot?
VoIP-telefoons worden in veel organisaties niet gezien als volwaardige netwerkapparaten, waardoor firmware-updates en securitymonitoring soms achterblijven. Dit maakt ze een aantrekkelijk doelwit voor aanvallers.
Wanneer gesprekken kunnen worden afgeluisterd, kan dit leiden tot:
- Uitlekken van vertrouwelijke bedrijfsinformatie
- Schending van privacywetgeving zoals de AVG
- Financiële fraude
- Reputatieschade
Beschikbare oplossing
Grandstream heeft inmiddels een firmware-update uitgebracht die het probleem verhelpt. Beheerders wordt geadviseerd zo snel mogelijk te upgraden naar de nieuwste firmwareversie. Officiële beveiligingsinformatie is beschikbaar via de Grandstream PSIRT-pagina .
Aanbevolen beveiligingsmaatregelen
- Plaats VoIP-telefoons in een apart VLAN
- Schakel externe toegang tot de webinterface uit
- Gebruik sterke en unieke SIP-wachtwoorden
- Activeer TLS en SRTP-versleuteling waar mogelijk
- Controleer netwerkverkeer op afwijkend SIP-verkeer
