Die US-amerikanische Cybersicherheitsbehörde CISA hat Bundesbehörden eindringlich dazu aufgefordert, TrueConf-Server Patches umgehend umzusetzen. Hintergrund: Bedrohungsakteure nutzen zwei kritische Schwachstellen in TrueConf bereits aktiv aus. Damit steigt das Risiko, dass Angreifer Systeme nicht nur kompromittieren, sondern anschließend auch seitlichen Zugriff auf weitere Bereiche gewinnen.
TrueConf ist eine sichere On-Premises-Lösung für Videokonferenzen. Über eine dedizierte Unternehmensserver-Instanz verbindet sie Client-Anwendungen, unter anderem mithilfe von Scalable Video Coding (SVC). CISA bezieht sich dabei auf Probleme, die seit 2022 in TrueConf Server-Versionen enthalten sind.
Welche TrueConf-Schwachstellen aktuell kritisiert werden
Die beiden sicherheitsrelevanten Lücken wurden als CVE-2026-72529 und CVE-2026-72530 dokumentiert. CISA stuft beide als kritisch ein. Laut Meldung gelten sie für alle TrueConf Server-Versionen seit 2022.
Beide Schwachstellen sind dabei nicht nur theoretisch. Angreifer können sie aus der Ferne ausnutzen, sofern sie Zugriff auf den TrueConf Server haben, der über Port 4307/TCP erreichbar ist.
CVE-2026-72529: Undokumentierte Funktion, Skripte ausführen
Mit CVE-2026-72529 kann ein Angreifer eine undokumentierte Funktion aufrufen. Dadurch wird es möglich, beliebige Skripte auszuführen. In der Praxis bedeutet das: Der Angreifer kann auf dem System Code starten, der nicht zur vorgesehenen Anwendung gehört.
CVE-2026-72530: Isolation umgehen, auf dem Host ausführen
CVE-2026-72530 zielt darauf, eine isolierte Umgebung zu umgehen. Anschließend lassen sich ebenfalls Skripte auf dem Host-System ausführen. Das erhöht die Tragweite, weil damit zusätzliche Schutzschichten ausgehebelt werden können.
So schnell wurde gepatcht – und warum CISA trotzdem Tempo fordert
Die betroffenen Lücken wurden im Juni 2026 behoben. Verfügbar sind die korrigierten TrueConf Server-Versionen 5.3.9, 5.4.9 und 5.5.5. CISA weist jedoch darauf hin, dass es in der Zwischenzeit zu Ausnutzung gekommen ist und daher unmittelbares Handeln nötig ist.
In der jüngsten Aktualisierung hat CISA beide Schwachstellen in die Known Exploited Vulnerabilities (KEV)-Liste aufgenommen. In dieser Liste werden Lücken geführt, die aktiv ausgenutzt werden. Für Behörden gilt: CVE-2026-72529 soll innerhalb von drei Tagen geschlossen werden, CVE-2026-72530 innerhalb von zwei Wochen.
Was über beobachtete Angriffe bekannt ist
CISA hat in der aktuellen Meldung keine konkreten technischen Details dazu veröffentlicht, wie die Ausnutzung im beobachteten Umfeld genau ablief. Allerdings gibt es Hinweise aus anderer Sicherheitsberichterstattung.
Im selben Zeitraum warnte Kaspersky, dass die Lücken ausgenutzt werden. Dort wird zudem eine Verbindung zum Hacktivismus-Umfeld hergestellt: Die Aktivitäten werden der Gruppe Head Mare zugeordnet.
Head Mare ist seit mindestens 2023 aktiv und soll unter anderem Organisationen in Russland und Belarus angegriffen haben. Dabei beschrieb man auch destruktive Vorgehensweisen, etwa das Ausrollen von Dateiverschlüsselungs-Malware und die Forderung von Lösegeld. Gleichzeitig ergibt sich laut Bericht kein klarer Hinweis darauf, dass die Motivation finanziell dominiert.
Wie Angreifer TrueConf kompromittieren und Malware nachladen
In den von Kaspersky untersuchten Fällen nutzten die Angreifer sowohl CVE-2026-72529 als auch CVE-2026-72530, um eine TrueConf Server-Instanz zu übernehmen. Anschließend ersetzten sie eine Datei durch eine Web-Shell.
Diese Web-Shell dient später als Werkzeug, um Informationen zur IT-Infrastruktur der betroffenen Organisation zu sammeln. Außerdem kann sie dabei helfen, privilegierten Zugriff auf die TrueConf Server-Datenbank zu erlangen. Ein weiterer Schritt betrifft die Manipulation von Client-Installern: Die Angreifer ersetzen legitime Installationspakete durch präparierte Versionen.
Darüber hinaus sollen die Angreifer maliziöse TrueConf Client-Installer auf den Server gebracht haben. Wenn Mitarbeitende diese Installationspakete auf ihren Systemen ausführen, wird anschließend PhantomCore installiert. PhantomCore wird in den Untersuchungen typischerweise mit Intrusionen in Verbindung gebracht, die Head Mare zugeschrieben werden.
Zusätzliche Backdoors auf Unix-Systemen
Die Angreifer setzten außerdem Backdoors in unterschiedlichen Ausprägungen ein. Für Unix-Server, auf denen TrueConf läuft, wird eine Backdoor beschrieben, die das TrueConf-Protokoll für Command-and-Control-Kommunikation (C&C) verwendet.
Zusätzlich wird von einer weiteren Backdoor berichtet, die auf Unix-Systemen zum Einsatz kommt und dabei GitHub als Kommunikations- oder Steuerungsweg nutzt. Welche konkreten Mechanismen dahinterstehen, wird in der Quelle nicht im Detail erklärt, aber die Kombination zeigt: Es geht nicht nur um einmalige Code-Ausführung, sondern um anhaltende Kontrolle.
Was TrueConf-Betreiber jetzt konkret tun sollten
Für Betreiber von TrueConf Servern lautet die zentrale Empfehlung: aktualisieren Sie auf eine gepatchte Version und prüfen Sie anschließend Ihr Umfeld proaktiv.
- Update auf die korrigierten Versionen: Dazu zählen die TrueConf Server-Versionen 5.3.9, 5.4.9 und 5.5.5.
- Umgebung auf Indicators of Compromise (IoCs) prüfen: Suchen Sie nach Hinweisen auf kompromittierende Artefakte, ungewöhnliche Prozesse oder manipulierte Komponenten.
- Für bösartige Artefakte scannen: Achten Sie besonders auf Web-Shell-ähnliche Dateien und unerwartete Veränderungen in den Serverdateien.
- Anmeldeinformationen rotieren: Falls Anzeichen einer Intrusion vorliegen, sollten Sie die Credentials aller potenziell betroffenen Konten umgehend ändern.
Damit reduzieren Sie die Wahrscheinlichkeit, dass Angreifer weiterhin Zugriff behalten oder nach dem Patchen über manipulierte Installer erneut schädliche Software ausrollen.
Praktischer Blick auf Patchmanagement und Risiko
Dass CISA die Lücken in die KEV-Liste aufnimmt, zeigt vor allem eines: Patchen ist nicht nur eine Best Practice, sondern ein Muss, wenn Ausnutzung nachweisbar ist. Besonders relevant ist dabei der externe Angriffsweg: Remote Angreifer benötigen Zugriff auf den TrueConf Server über 4307/TCP, um die Schwachstellen zu triggern.
Für IT-Teams heißt das: Regelmäßiges Inventarieren von Serverversionen, schnelles Einspielen von TrueConf-Server Patches und ein strukturierter Check auf Spuren sind entscheidend. Ergänzend sollten Sie betroffene Konfigurationen und Netzwerkzugriffe überprüfen, um die Angriffsfläche zu verkleinern.
Fazit: Zeitnah patchen und kompromittierte Spuren aktiv suchen
CISA warnt vor zwei kritischen Schwachstellen in TrueConf Servern, die bereits aktiv ausgenutzt werden: CVE-2026-72529 und CVE-2026-72530. Die korrigierten Versionen sind im Juni 2026 erschienen, doch die jüngste KEV-Aufnahme unterstreicht den Handlungsdruck.
Setzen Sie deshalb TrueConf-Server Patches schnell um, aktualisieren Sie auf 5.3.9, 5.4.9 oder 5.5.5 und prüfen Sie Ihr Umfeld auf IoCs sowie mögliche Manipulationen wie Web-Shells oder präparierte Client-Installer. Nur so verhindern Sie, dass Angreifer trotz Updates weiter aktiv bleiben oder Ihre Nutzer erneut mit Malware infizieren.
Quelle: https://www.securityweek.com/cisa-urges-immediate-patching-of-exploited-trueconf-vulnerabilities/
