米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、TrueConfクライアントに影響を与える重大なセキュリティ脆弱性を、2026年4月2日付で既知の悪用される脆弱性（KEV）カタログに追加しました。
この追加により、脅威アクターがこの欠陥を実際の攻撃で積極的に悪用しており、まだ利用可能な対策を適用していない組織に対して緊急のリスクをもたらしていることが確認されました。
CVE-2026-3502として追跡されるこの脆弱性は、CWE-494「整合性チェックなしのコードのダウンロード」に分類されています。
この欠陥はTrueConfクライアントのソフトウェア更新メカニズム内に存在し、ダウンロードされた更新ファイルを実行する前に、その真正性または整合性を適切に検証できません。
安全な更新ワークフローでは、暗号化整合性チェックが認証のデジタルシールとして機能し、正当なベンダー署名ファイルのみがインストールされることを保証します。CVE-2026-3502はこの保証を完全に破壊します。
ネットワーク上に位置する攻撃者、または更新配信インフラストラクチャを侵害した攻撃者は、更新リクエストをインターセプトし、正当なパッケージを悪意のあるペイロードに置き換えることができます。
TrueConfクライアントはファイルの整合性を検証しないため、改ざんされた更新を自動的にインストールおよび実行します。
これにより任意のコード実行が発生し、攻撃者は影響を受けたユーザーまたはシステムプロセスと同じ特権でコマンドを実行する機能を獲得し、潜在的に完全なシステム侵害を可能にします。
CVE-2026-3502をリストすることは、ネットワーク防御者がこれを将来のパッチサイクルアイテムではなく、直ちの運用脅威として扱う必要があることを示しています。
ソフトウェア更新メカニズムは、特に危険な攻撃面です。
それらはオペレーティングシステムによって本質的に信頼されており、しばしば昇格された特権で実行されるため、永続的なアクセスを求める脅威アクターにとって高い価値を持つターゲットになります。
ランサムウェアグループの関与はまだ確認されていませんが、任意のコード実行機能により、この脆弱性は金銭的動機のあるサイバー犯罪グループから国家支援アクターまで、幅広い敵にとって魅力的になります。
この欠陥を悪用する攻撃者は機密データを盗んだり、バックドアを展開したり、最小限の摩擦でエンタープライズネットワーク全体に横展開したりする可能性があります。
拘束的運用指令（BOD）22-01の下では、すべての米国連邦民間行政府機関は、2026年4月16日までにCVE-2026-3502を改善する必要があります。
機関および組織は、直ちに以下の手順を取る必要があります：
セキュリティチームは、環境全体のTrueConfクライアントのすべての展開を監査し、パッチの適用可能性を確認し、修復が進行中に追加の防御措置として異常な更新関連アクティビティについてネットワークトラフィックを監視する必要があります。
翻訳元: https://cyberpress.org/cisa-adds-trueconf-flaw/