Eine Drei-Tage-Frist für zwei kritische Lücken
CISA nahm am 20. August 2026 zwei Schwachstellen im TrueConf Server in seinen Known Exploited Vulnerabilities-Katalog auf und gab US-Bundesbehörden bis zum 23. August Zeit zum Patchen.
Beide Lücken gelten als kritisch, beide werden bereits aktiv ausgenutzt, und keine erfordert ein Passwort: Wer Port 4307 des TrueConf Server über das Netzwerk erreicht, kann ihn kompromittieren, ohne sich jemals anzumelden.
Was CVE-2026-72529 und CVE-2026-72530 wirklich tun
Die erste Lücke, CVE-2026-72529, ist ein fehlender Authentifizierungsschutz: Der TrueConf Server stellt auf Port 4307/TCP eine undokumentierte Funktion bereit, über die ein nicht authentifizierter Angreifer aus der Ferne ein beliebiges Skript ausführen kann, ganz ohne Zugangsdaten.
| CVE | Typ | Betroffene Versionen | Behoben in |
|---|---|---|---|
| CVE-2026-72529 | Fehlende Authentifizierung, nicht authentifizierte Codeausführung über eine undokumentierte Funktion auf Port 4307/TCP | 5.3.x-5.3.9, 5.4.x-5.4.9, 5.5.x-5.5.5 und früher | 5.3.9 / 5.4.9 / 5.5.5 |
| CVE-2026-72530 | Code-Injection, ermöglicht den Ausbruch aus der Server-Sandbox und Codeausführung auf dem Host | 5.3.x-5.3.9, 5.4.x-5.4.9, 5.5.x-5.5.5 und früher | 5.3.9 / 5.4.9 / 5.5.5 |
Die zweite Lücke, CVE-2026-72530, ist eine Code-Injection, mit der ein Angreifer, der den Server bereits erreicht hat, aus dessen isolierter Umgebung ausbrechen und beliebigen Code direkt auf der Host-Maschine ausführen kann, wodurch aus einem eingedämmten Fehler die volle Kontrolle über den Server wird.
Kaspersky führt aktive Angriffe auf infizierte Installer zurück
Das ICS-CERT-Team von Kaspersky dokumentierte, wie Angreifer genau diese Schwachstellenkette ausnutzten, um echte TrueConf-Client-Installer durch vergiftete Versionen mit den Backdoors PhantomCore und PhantomGraph zu ersetzen.
Kaspersky ordnete die Kampagne einer Gruppe zu, die es als Head Mare führt, und erklärte, die vergifteten Installer seien erstmals im Juli 2026 entdeckt worden, verteilt über kompromittierte TrueConf-Server an ahnungslose Meeting-Teilnehmer, die dem Update vertrauten.
Das Souveränitätsversprechen trifft auf eine offene Hintertür
TrueConf bewirbt seinen On-Premises-Betrieb als Antwort für Organisationen, die Videokonferenzen komplett von US-Cloud-Infrastruktur fernhalten wollen, und richtet sich gezielt an Behörden, Gesundheitswesen und Finanzkunden mit strengen Datenlokalisierungspflichten.
Dieses Versprechen ist nicht falsch, aber unvollständig: Ein selbst betriebener Server, der Abhängigkeit von einem ausländischen Cloud-Anbieter vermeiden soll, braucht dieselbe Patch-Disziplin, die der Cloud-Anbieter sonst übernommen hätte, und ein unauthentifiziertes Loch auf einem öffentlich erreichbaren Port ist eine schlechtere Ausgangslage als die meisten fehlkonfigurierten Cloud-Konten.
Was vor Montag zu tun ist
Jede Organisation, die TrueConf Server in Version 5.3.x, 5.4.x oder 5.5.x betreibt, sollte jetzt die eigene Version prüfen und sofort auf 5.3.9, 5.4.9 oder 5.5.5 aktualisieren, da alle drei Versionslinien den Fix bereits enthalten.
Ist ein sofortiges Update nicht möglich, sind die Beschränkung des Netzwerkzugriffs auf Port 4307 und die Prüfung aktueller Server-Logs auf den Aufruf der undokumentierten Funktion die minimalen Sofortmaßnahmen bis zum Einspielen des Patches.
Weiterlesen: SAP-Commerce-Cloud-Lücke wurde vor dem Patchen ausgenutzt | Zwei SharePoint-Lücken ergeben zusammen volle RCE
