CISA orders feds to patch actively exploited TrueConf Server flaws
2026/08/21 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、TrueConf Server の自社運用型通信プラットフォームの脆弱性 CVE-2026-72529／CVE-2026-72530 を Known Exploited Vulnerabilities (KEV) カタログに追加し、米国連邦機関に対して優先的に対策を講じるよう命じた。TrueConf Server は、企業向けのメッセージング／ビデオ会議用に設計されており、Zoom／Microsoft Teams などのクラウド型ソフトウェアとは異なり、組織のローカル・ネットワーク (LAN) 内で動作する。
最も深刻であり、認証を必要としない脆弱性 CVE-2026-72529 (CVSS：9.8 Critical) を悪用する未認証の攻撃者は、パッチ未適用のサーバ上でリモートから任意のスクリプトを実行する可能性がある。TrueConf のセキュリティ・チームは、「4307/TCP を介して TrueConf Server へ接続する未認証のリモート攻撃者は、非公開の重要な関数を呼び出し、サーバ上で任意のスクリプトを実行する可能性がある」と説明している。
2 件目の脆弱性 CVE-2026-72530 (CVSS：9.8 Critical) を悪用する未認証の脅威アクターは、複雑度が High のコード注入攻撃を連鎖させ、リモート・コード実行 (RCE) を行う可能性がある。TrueConf は、「コード生成の不適切な管理により、TrueConf Server の隔離環境でコード実行に成功した攻撃者がサンドボックスから脱出し、基盤となる OS 上で任意のコマンドを実行する可能性がある」と付け加えている。
CISA は 2026年8月20日に、これら 2件の脆弱性を KEV カタログへ追加し、米国 Federal Civilian Executive Branch (FCEB) 機関に対して、9月3日までに脆弱性への対策を完了するよう命じた。同組織は、「この種の脆弱性は、脅威アクターが頻繁に使用する攻撃ベクターであり、連邦政府のエンタープライズ環境に深刻なリスクをもたらす」と警告している。
これらの攻撃の詳細を CISA は明らかにしていない。その一方で、サイバーセキュリティ企業 Kaspersky によると、ハクティビスト・グループ Head Mare は遅くとも 2026年7月以降に、CVE-2026-72529／CVE-2026-72530 を悪用し、クライアント・インストーラーを、バックドア・マルウェアを展開する悪意のバージョンへ置き換えているという。Kaspersky によると、Head Mare の複数のキャンペーンは、運輸／エネルギー／IT／エレクトロニクス／ソフトウェア開発など、さまざまな業種のロシア組織を標的としている。
この件については、Check Point Research も 2026年4月に報告しており、攻撃者は “Operation True Chaos” と呼ばれるゼロデイ攻撃で、TrueConf の別の脆弱性 CVE-2026-3502 を標的とした。この攻撃は中国の脅威アクターと関連付けられており、トロイの木馬化したクライアント・アップデートを介してユーザーを侵害していた。
CISA KEV カタログへ TrueConf Server の脆弱性 CVE-2026-72529／CVE-2026-72530 が新たに追加されました。LAN 内で稼働する自社運用型通信基盤において、認証を経ずに外部から任意のプログラムを動かされる恐れや、制限領域を突破してシステム全域を操作される危険性が浮き彫りとなっています。実際に悪意ある組織による攻撃活動や不審なプログラムの混入事例が確認されており、放置すると重大な組織内侵入につながります。速やかな最新版への更新／影響を受けるポートへのアクセス制御／システム全体のログ点検などによる、異常の早期発見といった迅速な対処が求められます。
IoT OT Security News 
You must be logged in to post a comment.