Elastix e Issabel sin soporte: qué hacer con tu centralita Asterisk

Muchas empresas tienen una centralita Asterisk instalada hace años con Elastix o con Issabel, su continuación. Funciona, nadie la toca y el instalador ya no está. El problema es que debajo hay un sistema operativo y unas versiones de Asterisk que dejaron de recibir parches de seguridad, y una centralita expuesta a Internet sin parchear es una de las formas más habituales de acabar con una factura de miles de euros en llamadas internacionales.

Qué pasó con Elastix e Issabel

Elastix fue durante años la distribución de Asterisk más usada en España y Latinoamérica. En 2016 dejó de desarrollarse como distribución de Asterisk, y parte de la comunidad creó Issabel para continuarla. Issabel mantuvo la misma base: CentOS 7, una interfaz web propia y versiones de Asterisk de aquella época.

CentOS 7 llegó al final de su vida el 30 de junio de 2024. Desde entonces no recibe actualizaciones de seguridad, así que toda instalación que siga sobre él acumula vulnerabilidades sin corregir, en el sistema, en el servidor web y en las librerías que usa Asterisk.

Por qué es un riesgo real

Una centralita sin parchear no suele fallar sola. El riesgo es que alguien entre:

• Fraude de llamadas. Se registran extensiones con contraseñas débiles o se explota la interfaz web, y se lanzan llamadas a destinos internacionales de tarificación especial, casi siempre de noche o en fin de semana.
• Acceso a grabaciones y datos. Las grabaciones, los buzones de voz y los registros de llamadas son datos personales.
• Caídas sin repuesto. Si el disco o el servidor fallan, reinstalar una versión antigua puede ser más difícil que migrar.

Cómo saber si te afecta

• La interfaz web de tu centralita pone Elastix o Issabel.
• El sistema operativo es CentOS 7 o anterior (en consola: cat /etc/redhat-release).
• La versión de Asterisk es anterior a la 20 (en consola: asterisk -V). Hoy las ramas de largo soporte son la 20 y la 22.
• Los puertos SIP (5060/5061) o la web de administración están abiertos a Internet sin filtrar por IP.

Si se cumple alguno, conviene actuar antes de que haya un problema, no después.

Las tres salidas posibles

1. Blindar lo que tienes

Si la centralita funciona y no quieres tocarla ahora, lo mínimo es reducir la superficie de ataque: cerrar la web de administración a Internet, filtrar SIP por IP o por VPN, contraseñas largas en todas las extensiones, fail2ban activo y límites de gasto y de destinos internacionales en el operador. No corrige las vulnerabilidades, pero hace mucho más difícil explotarlas.

2. Migrar a FreePBX sobre un sistema con soporte

FreePBX 17 funciona sobre Debian 12 con versiones actuales de Asterisk y es la continuación natural para quien ya conoce Elastix o Issabel: el concepto de extensiones, colas, IVR y rutas es el mismo. La configuración se migra y el corte se hace en una ventana corta.

3. Pasar a centralita virtual

Si la centralita física se ha quedado vieja y no te aporta nada que no tenga una centralita virtual, lo más sencillo es dejar de mantener un servidor. Te quedas con las mismas funciones, los mismos números y los mismos teléfonos IP, y el mantenimiento y los parches pasan a ser cosa del operador.

Qué conviene en cada caso

Si no tienes claro en qué caso estás, cuéntanos qué tienes montado y te decimos qué haríamos nosotros, aunque la respuesta sea dejarla como está un tiempo más.

Escrito por Dídac Fernández, fundador de Osterisk.