CISAが連邦民間機関に対し、悪用されているTrueConf Serverの脆弱性へのパッチ適用を命令

CISAとKasperskyによると、米連邦民間機関は、ビデオ会議プラットフォームの侵害とマルウェア配布に悪用されている2件のTrueConf Server脆弱性について、修正対応の期限に直面しています。

米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、攻撃者が実際にこれら2件の脆弱性を悪用しているとの証拠に基づき、CVE-2026-72529とCVE-2026-72530を既知の悪用された脆弱性(KEV)カタログに追加しました。

CVE-2026-72529は認証欠如の脆弱性で、TrueConfのセキュリティアドバイザリではCVSSスコア9.8とされています。TCPポート4307経由でTrueConf Serverにアクセスできるリモート攻撃者は、認証なしで未文書化の機能を呼び出し、任意のスクリプトを実行できます。

CVE-2026-72530は、CVSSスコア9.0の深刻なコードインジェクションおよびサンドボックスエスケープの脆弱性です。TrueConfによると、TrueConfの分離環境内でコード実行に成功した攻撃者は、サンドボックスを脱出して基盤となるオペレーティングシステム上でコマンドを実行できるとしています。 

CISAが警鐘を鳴らす理由

CISAは、KEVカタログに登録される脆弱性は悪意あるサイバー攻撃者に頻繁に利用され、連邦ネットワークに重大なリスクをもたらすと述べています。

拘束力のある運用指令(Binding Operational Directive)26-04に基づき、連邦民間行政機関(Federal Civilian Executive Branch)は、CISAが指定する期限までに対象となる脆弱性を修正しなければなりません。同指令は、パッチ適用前にシステムが侵害されていたかどうかを判断するための基準も定めています。

この指令自体は連邦機関を対象としたものですが、CISAは民間組織に対しても、自組織のリスクベースの脆弱性管理プログラムの一環としてKEVカタログを活用するよう推奨しています。

攻撃者がサーバーをマルウェア配布拠点に転用

その危険性は、脆弱なサーバーを運用している組織にとどまらない可能性があります。

Kasperskyは、この2件の脆弱性の悪用を、輸送、エネルギー、IT、電子機器、ソフトウェア開発などの分野のロシア国内組織を標的としたハクティビストグループ「Head Mare」と結び付けています。攻撃者は侵害したTrueConf Serverを利用し、正規のクライアントインストーラーを、PhantomCoreバックドアを組み込んだトロイの木馬化バージョンに置き換えていました。

これにより、侵害されたサーバーからTrueConfクライアントをダウンロードしたユーザーが、正規のソフトウェアの代わりにトロイの木馬化されたパッケージを受け取ってしまうという、サプライチェーンリスクが生じています。

CISAは、民間組織に対しKEVに登録された脆弱性を脆弱性管理プログラムの中で優先的に対処するよう推奨しています。TrueConf Serverの管理者は、ベンダーが提供する修正済みリリースを適用し、外部に露出していたシステムに侵害の痕跡がないか調査する必要があります。

大量のパッチ適用待ち案件を抱える組織は、Microsoftの2026年8月のPatch Tuesdayで用いたのと同様のリスクベースのアプローチに従い、実際に悪用されているインターネット公開型の脆弱性をリスクの低い脆弱性より優先すると良いでしょう。

管理者は以下を実施すべきです。

• TrueConf Serverの導入環境をバージョン5.3.9、5.4.9、5.5.5以降に更新する。
• デフォルトのTCPポート4307への外部からの受信アクセスを制限またはブロックする。
• サーバーのファイル整合性を監査し、クライアントインストーラーが置き換えられていないか確認する。
• 不正なWebシェルの有無をシステム上で調査し、侵害の痕跡がないかホストログを確認するとともに、不正アクセスが疑われる場合は関連するデータベースサービス全体で認証情報をローテーションする。

管理者はこれを、単なるパッチ適用作業としてだけでなく、インシデント対応演習の機会としても捉えるべきです。修正対応前にTrueConf Serverが外部に露出していた場合、アップデートを適用しただけで過去の侵害の痕跡が消えたと決めつけず、サーバーの整合性を検証し、ダウンロード可能なクライアントインストーラーを点検する必要があります。

関連記事: AIがソフトウェアサプライチェーンのリスクをどう変えつつあるかを確認し、信頼されたソフトウェア配布経路を保護するために、組織が従来型の脆弱性パッチ適用の枠を超えて取り組むべき理由を理解してください。