פגיעויות שרשור קריטיות ב-TrueConf Server מנוצלות להפצת דלת אחורית; נוספו ל-KEV

שתי פגיעויות קריטיות ב-TrueConf Server, כלי ועידות הווידאו הרוסי הנפוץ גם בפריסות ארגוניות מקומיות (on-premises), מנוצלות בפועל לשרשור מלא: מעקיפת הזדהות ועד הרצת קוד עם הרשאות מערכת. CISA הוסיפה את שתיהן לקטלוג ה-KEV ב-20 באוגוסט 2026, אחרי שדווח שקבוצת התקיפה Head Mare משתמשת בהן כדי להחליף את תוכנת ההתקנה הרשמית של הלקוח בגרסה נגועה.

מה קרה

CVE-2026-72529 היא פגיעות היעדר הזדהות: תוקף מרוחק שיש לו גישת רשת לפורט 4307/TCP יכול לקרוא לפונקציה לא מתועדת ולהריץ סקריפט בלי להזדהות כלל. CVE-2026-72530 משלימה את השרשור: היא מאפשרת לסקריפט הזה לפרוץ מהסביבה המבודדת שבה הוא רץ ולהגיע להרצת קוד מלאה על מערכת ההפעלה של השרת, לרוב עם הרשאות SYSTEM. לפי The Hacker News, קבוצת התקיפה Head Mare מנצלת את השרשור הזה כדי להשתלט על שרתי TrueConf לא מעודכנים ולהחליף בהם את קובצי ההתקנה הרשמיים של תוכנת הלקוח בגרסאות שמפילות דלת אחורית בשם PhantomCore על מחשבי המשתמשים שמתחברים לשירות. TrueConf פרסמה תיקון עוד ביוני 2026, אך הניצול בשטח נמשך עד כדי כך ש-CISA ראתה לנכון להוסיף את שתי הפגיעויות ל-KEV רק כעת.

נקודות לשים לב

• עדכנו כל שרת TrueConf לגרסה 5.3.9 / 5.4.9 / 5.5.5 ואילך — התיקון זמין כבר כמה חודשים, וכל יום נוסף בלי עדכון הוא חלון פתוח.
• אם השרת נגיש מהאינטרנט דרך פורט 4307/TCP, שקלו לחסום גישה חיצונית אליו עד לאימות שהעדכון הותקן.
• בדקו האם קובצי ההתקנה (installer) שהופצו למשתמשים מהשרת שלכם תואמים לגיבוב (hash) הרשמי של TrueConf — זה הסימן המרכזי להחלפה זדונית.
• חפשו ביומני הרישום (logs) תהליכי PowerShell שמתקינים שירותי Windows חדשים, מנהרות SSH הפוכות, או חיבורים חריגים ל-Microsoft OneDrive מתהליכים שלא אמורים לתקשר איתו — כל אלה דווחו כחלק מהקמפיין.
• אם אתם מריצים שרת TrueConf ומעולם לא עדכנתם מאז יוני — התייחסו לכך כחשד לפריצה קיימת, לא רק כחשיפה תיאורטית, ובדקו לפחות דגימת התקנה אחת מול המקור הרשמי.

מקורות: CISA · The Hacker News