La CISA, l’agence américaine de cybersécurité, exhorte les organisations à réagir vite : deux vulnérabilités affectant TrueConf sont activement exploitées par des acteurs malveillants. Comme elles ont été ajoutées au catalogue Known Exploited Vulnerabilities (KEV), la question n’est plus « si » il faut agir, mais quand et comment.
Dans cet article, nous faisons le point sur ce qui est connu : les références CVE-2026-72529 et CVE-2026-72530, les conséquences possibles, le calendrier de correction, ainsi que les mesures concrètes à adopter pour réduire le risque.
Deux failles TrueConf, deux impacts critiques
TrueConf est une solution de visioconférence sur site qui s’appuie sur le Scalable Video Coding (SVC) pour connecter les applications clientes via un serveur dédié au sein de l’infrastructure de l’entreprise.
La CISA indique que toutes les versions du TrueConf Server depuis 2022 comportent deux bogues de sévérité critique, référencés :
- CVE-2026-72529
- CVE-2026-72530
Ces deux vulnérabilités permettent, selon les informations publiées, à un attaquant d’exécuter du code à distance. L’attaque ne se limite donc pas à une simple compromission : elle peut mener à un contrôle plus large du système.
Exploitation à distance via le port 4307/TCP
Un point déterminant : l’exploitation est décrite comme réalisable par des attaquants distants, disposant d’un accès au TrueConf server via le port 4307/TCP. Cela signifie que la surface d’exposition réseau compte énormément, notamment si le service est accessible depuis l’extérieur ou via des chemins réseau peu segmentés.
Plus précisément :
- CVE-2026-72529 permet d’appeler une fonction non documentée afin d’exécuter des scripts arbitraires.
- CVE-2026-72530 autorise une sortie de l’environnement isolé, puis l’exécution de scripts directement sur l’hôte.
En pratique, cette combinaison augmente la probabilité d’une prise de contrôle et complique le confinement d’éventuelles actions malveillantes.
Quelles mises à jour effectuer ? (TrueConf mise à jour)
Les vulnérabilités exploitées ont été corrigées en juin 2026. La CISA cite les versions de TrueConf Server suivantes comme remédiées :
- 5.3.9
- 5.4.9
- 5.5.5
La recommandation est claire : les propriétaires de serveurs TrueConf doivent procéder à la TrueConf mise à jour vers l’une des versions corrigées, en s’assurant que le déploiement est complet et effectif sur tous les environnements concernés (y compris ceux qui seraient moins fréquemment utilisés).
Au-delà de la correction, la CISA insiste sur l’idée qu’une mise à jour seule ne suffit pas si un incident s’est déjà produit.
Délai KEV : trois jours puis deux semaines
Le jeudi en question, la CISA a ajouté les deux vulnérabilités à son catalogue KEV. Cette inscription déclenche des délais d’action pour les agences fédérales :
- Pour CVE-2026-72529 : correction dans un délai de trois jours.
- Pour CVE-2026-72530 : correction dans un délai de deux semaines.
Même si votre organisation ne relève pas du périmètre fédéral, ces délais donnent un signal fort : l’exploitation observée implique un risque en hausse, donc une réponse accélérée.
Ce que l’on sait sur l’exploitation observée
La CISA ne fournit pas de détails approfondis sur la manière exacte dont l’exploitation a été observée. Toutefois, un avertissement antérieur a été relayé par Kaspersky, mentionnant que ces failles seraient exploitées par le groupe Head Mare pour déployer de la malware PhantomCore.
Selon ces informations, Head Mare serait actif au moins depuis 2023 et viserait des organisations en Russie et Biélorussie, dans des attaques destructrices. Les éléments décrits ne laissent pas apparaître une motivation financière directe.
De la compromission à la persistance : le scénario décrit
Dans le cadre des enquêtes de Kaspersky, l’exploitation de CVE-2026-72529 et CVE-2026-72530 aurait servi à compromettre un serveur TrueConf. L’attaque aurait ensuite mené à un remplacement d’un fichier par un web shell.
Le rôle de ce web shell est décrit comme suit : il sert à collecter des informations sur l’infrastructure IT de l’organisation visée, à obtenir un accès privilégié à la base de données du TrueConf Server, puis à remplacer des installateurs clients légitimes.
La chaîne d’attaque inclurait aussi l’hébergement de faillants ou malveillants installateurs TrueConf sur le serveur. Une fois exécutés sur les postes des employés, ces installateurs auraient permis d’installer PhantomCore, un logiciel malveillant associé aux intrusions attribuées à Head Mare.
Enfin, des backdoors auraient été mises en place :
- Sur les serveurs *nix exécutant TrueConf, via le protocole TrueConf pour la communication command-and-control (C&C).
- Sur d’autres systèmes *nix, avec une communication via GitHub.
Ce type de scénario illustre pourquoi la réponse doit être à la fois préventive (mises à jour) et détective (recherche de traces).
Plan d’action recommandé : mise à jour, recherche d’artefacts et rotation des identifiants
Pour limiter l’impact, les propriétaires de TrueConf Server sont invités à mener plusieurs actions en parallèle.
Concrètement :
- Mettre à jour vers une version corrigée (celles mentionnées comme remédiées).
- Scanner l’environnement à la recherche d’indicateurs de compromission (IoCs).
- Contrôler l’existence d’artefacts malveillants (par exemple des composants atypiques pouvant correspondre à un web shell ou à des éléments de persistance).
- Rôter les identifiants pour tous les comptes potentiellement affectés si une intrusion est confirmée.
Ces étapes forment une approche pragmatique : vous corrigez la faille, puis vous cherchez des preuves d’exploitation passée, enfin vous réduisez les risques liés à des comptes compromis.
Pourquoi cette alerte dépasse le cas TrueConf
Ce qui rend cette alerte particulièrement importante, c’est la combinaison de plusieurs facteurs : exploitation à distance, gravité critique, présence de délais KEV et association à une chaîne d’attaque pouvant aboutir à des installateurs malveillants et à des communications de contrôle.
Autrement dit, une application utilisée en contexte professionnel peut devenir un point d’entrée si elle est accessible et si elle n’est pas maintenue à jour. La TrueConf mise à jour n’est donc pas seulement une tâche de maintenance : c’est une mesure de réduction du risque.
Conclusion
La CISA alerte sur deux vulnérabilités critiques affectant TrueConf Server, référencées CVE-2026-72529 et CVE-2026-72530, déjà exploitées. La correction publiée en juin 2026 via les versions 5.3.9, 5.4.9 et 5.5.5 doit être traitée en priorité, surtout au regard des délais imposés par le programme KEV.
Après la mise à jour, vérifiez vos IoCs, recherchez d’éventuels artefacts malveillants et préparez une rotation des identifiants si une compromission est mise en évidence. En agissant rapidement et méthodiquement, vous réduisez fortement la probabilité d’une intrusion durable.
Source: https://www.securityweek.com/cisa-urges-immediate-patching-of-exploited-trueconf-vulnerabilities/
