米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、自社運用型コミュニケーションプラットフォームTrueConf Serverに存在し積極的に悪用されている2件の脆弱性について、米連邦政府機関に対して優先的なパッチ適用を命じました。
TrueConf Serverは企業向けの安全なメッセージング・ビデオ会議を目的として設計されており、ZoomやMicrosoft Teamsのようなクラウドベースのソフトウェアとは異なり、組織のローカルネットワーク(LAN)内で動作します。
最も深刻なのは、権限を持たない攻撃者がリモートから任意のスクリプトをパッチ未適用のサーバー上で実行できてしまう、認証欠如に関する重大な脆弱性(CVE-2026-72529として追跡)です。
TrueConfのセキュリティチームは、「4307/TCP経由でTrueConf Serverに接続するリモートの未認証攻撃者は、文書化されていない重要な機能を呼び出し、サーバー上で任意のスクリプトを実行できます」と説明しています。
2つ目は、未認証の脅威アクターが複雑度の高いコードインジェクション攻撃を通じてリモートコード実行を達成できる、もう1件の重大な脆弱性(CVE-2026-72530)です。
TrueConfは、「コード生成の管理不備により、TrueConf Serverの隔離環境内でコード実行を達成した攻撃者がサンドボックスから脱出し、基盤となるオペレーティングシステム上で任意のコマンドを実行できる可能性があります」と付け加えています。
木曜日、CISAはこれら2件の脆弱性をKEVカタログに追加し、米連邦文民行政府機関(FCEB)に対して9月3日までの2週間以内にサーバーを保護するよう命じました。
同サイバーセキュリティ機関は、「この種の脆弱性は悪意あるサイバー攻撃者にとって頻繁な攻撃経路となっており、連邦政府全体に重大なリスクをもたらします」と警告しています。
CISAはこれらの攻撃の詳細を明らかにしていませんが、サイバーセキュリティ企業のKasperskyによると、ハクティビスト集団Head Mareは少なくとも2026年7月以降、CVE-2026-72529とCVE-2026-72530を悪用し、クライアントインストーラーをバックドアマルウェアを展開するよう設計された悪意あるバージョンに差し替えているとのことです。
Kasperskyによると、複数のHead Mareキャンペーンが、運輸、エネルギー、IT、電子機器、ソフトウェア開発など様々な業種にわたるロシアの組織を標的にしていました。
2026年4月には、Check Point Researchも報告を行い、「Operation True Chaos」と名付けられ中国の脅威アクターと結び付けられたゼロデイ攻撃において、ハッカーがTrueConfの別の脆弱性(CVE-2026-3502)を標的にし、トロイの木馬化されたクライアントアップデートを通じてユーザーを侵害していたことを明らかにしています。
