概要
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は8月20日、ビデオ会議ソフトウェアTrueConf Serverの重大な脆弱性2件を「既知の悪用された脆弱性(KEV)」カタログに追加したと発表した。対象はCVE-2026-72529(重要機能に対する認証欠如)とCVE-2026-72530(コードインジェクション)で、いずれも2022年以降のすべてのバージョンのTrueConf Serverに存在する。両脆弱性はポート4307/TCP経由でリモートから悪用可能で、ハクティビストグループ「Head Mare」がロシアとベラルーシの組織を狙った破壊的攻撃で実際に悪用していたことが確認されている。CISAは連邦機関に対し、CVE-2026-72529を3日以内、CVE-2026-72530を2週間以内にパッチ適用するよう求めており、通常のKEVカタログ対応期限(3週間程度)と比べても異例の短さとなっている。
技術的な詳細
CVE-2026-72529は、攻撃者が文書化されていない内部関数を呼び出すことで、認証を経ずに任意のスクリプトを実行できる脆弱性。CVE-2026-72530は、サンドボックス化された隔離環境から脱出し、ホストシステム上で直接スクリプトを実行できるコードインジェクションの脆弱性で、両者を組み合わせることでリモートコード実行が可能になる。TrueConf社はこれらの脆弱性を2026年6月にバージョン5.3.9、5.4.9、5.5.5で修正済みだが、パッチ未適用の環境が依然として攻撃対象となっている。
攻撃の手口とマルウェア
Head Mareは2023年以降、この脆弱性を悪用してTrueConfサーバー上の正規ファイルをWebシェルに置き換え、内部インフラの情報収集や権限昇格を行った上で、正規のクライアントインストーラーをマルウェアにすり替える手口を用いていたとされる。配布されたマルウェアには、同グループの過去の侵入活動で確認されている「PhantomCore」が含まれるほか、複数のバックドアが展開され、C&C(コマンド&コントロール)通信にはTrueConf独自のプロトコルやGitHubが悪用されていた。これにより、通信の検知や遮断が難しくなっていたとみられる。
今後の対応
CISAは連邦機関向けにBOD 26-04(2026年6月にBOD 22-01を置き換えて発効したリスクベースの拘束的運用指令)に基づく対応期限を設定しているが、TrueConfを利用するすべての組織に対しても、脆弱性が積極的に悪用されている実態を踏まえ、速やかなパッチ適用を推奨している。特にビデオ会議基盤は組織内の機密性の高い通信を扱うことが多く、侵害された場合の情報漏えいリスクが大きいため、パッチ未適用のサーバーを運用している組織は早急な対応が求められる。