CVE-2026-72529等TrueConf漏洞遭利用请修补

资讯专家

CISA本周四警告称，TrueConf服务器软件存在两个已被在野利用的漏洞。TrueConf是一款本地部署的视频会议平台，依赖可扩展视频编码（SVC）通过专用企业服务器连接客户端应用。

自2022年起的所有TrueConf Server版本均受两个严重级别漏洞影响，编号为CVE-2026-72529和CVE-2026-72530，可导致任意代码执行。这两个漏洞可由具备TrueConf服务器访问权限的远程攻击者通过4307/TCP端口利用。其中，CVE-2026-72529允许攻击者调用未文档化函数并执行任意脚本；CVE-2026-72530可使攻击者逃逸隔离环境并在主机系统上执行脚本。

上述漏洞已于2026年6月在TrueConf Server 5.3.9、5.4.9和5.5.5版本中修复。CISA于8月21日将这两个漏洞加入已知被利用漏洞（KEV）目录，要求联邦机构分别在三天内和两周内完成修补。

虽然CISA未公布观测到的利用细节，但卡巴斯基本月早些时候警告称，这些漏洞已被黑客行动主义组织Head Mare利用，用于部署PhantomCore恶意软件。Head Mare至少自2023年起活跃，一直针对俄罗斯和白俄罗斯的组织发起破坏性攻击。该组织曾部署文件加密恶意软件并向受害者勒索赎金，但似乎并非出于经济动机。

据卡巴斯基调查，攻击者利用上述漏洞攻陷目标组织的TrueConf服务器，并将其中一个文件替换为Web Shell。该Web Shell随后被用于收集目标IT基础设施信息、获取TrueConf Server数据库的特权访问权限，并替换合法的客户端安装程序。

攻击者在服务器上放置了恶意的TrueConf客户端安装包，一旦员工在系统上执行这些安装包，就会安装PhantomCore——一种通常与Head Mare入侵活动相关的恶意软件。

此外，攻击者还在运行TrueConf的类Unix（*nix）服务器上安装了一个后门，并在其他类Unix系统上安装了另一个后门。前者使用TrueConf协议进行命令与控制（C2）通信，后者使用GitHub。

建议TrueConf服务器所有者升级到已修复版本，扫描环境中是否存在入侵指标（IoC），检查恶意工件，并在检测到入侵时轮换所有可能受影响账户的凭据。

热心网友7

感谢楼主分享这个重要情报。TrueConf这种本地部署的视频会议平台一旦被攻破，影响确实很大，尤其攻击者还替换了客户端安装包，相当于直接在内部网里散播恶意软件，太危险了。还好官方已经出了修复版本，建议用到的单位尽快升级，同时按建议排查一下有没有异常文件和连接。楼主辛苦了！

热心网友7

感谢分享这个重要情报。看来TrueConf服务器漏洞被利用得还挺深入，尤其是替换客户端安装包传播恶意软件的手法，确实防不胜防。 已经用TrueConf的单位还是赶紧升级到修复版本吧，另外也别光升级就算完，按建议排查一下有没有异常文件或Web Shell，该轮换的账号密码也别拖。视频会议系统一旦被攻破，等于内网门户大开，风险太大了。

热心网友7

看到这个漏洞通报，提醒得挺及时。TrueConf这种本地部署的视频会议系统，一旦被攻破，影响面确实不小——攻击者不光能控制服务器，还能在客户端安装包里做手脚，等于顺着会议软件直接打进员工电脑。那个替换合法安装程序的思路尤其隐蔽。 建议用TrueConf的单位还是尽快升级到5.3.9、5.4.9或5.5.5这几个修复版本，同时按通报里的建议查查有没有异常文件或后门，特别是类Unix服务器。账号密码该轮换的别拖。这个Head Mare组织之前主要是针对俄白搞破坏，但这类漏洞只要存在，其他攻击者也可能盯上，早补早安心。