Trois jours pour deux failles critiques
Le 20 août 2026, la CISA a ajouté deux vulnérabilités de TrueConf Server à son catalogue des vulnérabilités activement exploitées, laissant aux agences fédérales américaines jusqu'au 23 août pour appliquer le correctif.
Les deux failles sont classées critiques, les deux sont déjà exploitées activement, et aucune n'exige de mot de passe : quiconque atteint le port 4307 de TrueConf Server par le réseau peut le compromettre sans jamais s'authentifier.
Ce que font vraiment CVE-2026-72529 et CVE-2026-72530
La première faille, CVE-2026-72529, est une authentification absente : TrueConf Server expose sur le port 4307/TCP une fonction non documentée qui permet à un attaquant distant non authentifié d'exécuter un script arbitraire, sans aucun identifiant.
| CVE | Type | Versions concernées | Corrigé dans |
|---|---|---|---|
| CVE-2026-72529 | Authentification absente, exécution de code à distance sans authentification via une fonction non documentée sur le port 4307/TCP | 5.3.x-5.3.9, 5.4.x-5.4.9, 5.5.x-5.5.5 et antérieures | 5.3.9 / 5.4.9 / 5.5.5 |
| CVE-2026-72530 | Injection de code permettant de s'échapper du bac à sable du serveur et d'exécuter du code sur l'hôte | 5.3.x-5.3.9, 5.4.x-5.4.9, 5.5.x-5.5.5 et antérieures | 5.3.9 / 5.4.9 / 5.5.5 |
La seconde faille, CVE-2026-72530, est une injection de code qui permet à un attaquant déjà présent sur le serveur de s'échapper de son environnement isolé et d'exécuter du code arbitraire directement sur la machine hôte, transformant un bug contenu en contrôle total du serveur.
Kaspersky remonte l'exploitation active jusqu'à des installateurs infectés
L'équipe ICS CERT de Kaspersky a documenté des attaquants exploitant exactement cette chaîne de vulnérabilités pour remplacer les installateurs légitimes du client TrueConf par des versions piégées contenant les portes dérobées PhantomCore et PhantomGraph.
Kaspersky a attribué la campagne à un groupe qu'elle suit sous le nom de Head Mare et a indiqué que les installateurs piégés avaient été détectés pour la première fois en juillet 2026, distribués via des serveurs TrueConf compromis vers des participants de réunion qui faisaient confiance à la mise à jour.
La promesse de souveraineté se heurte à une porte dérobée ouverte
TrueConf présente son déploiement sur site comme la réponse pour les organisations qui veulent garder les visioconférences entièrement hors de l'infrastructure cloud américaine, en visant directement les administrations, la santé et la finance soumises à des règles strictes de localisation des données.
Cette promesse n'est pas fausse, mais elle est incomplète : un serveur autogéré, pensé pour éviter la dépendance à un fournisseur cloud étranger, exige la même discipline de correctifs que ce fournisseur aurait autrement assumée, et un trou sans authentification sur un port exposé à internet est un point de départ pire que la plupart des comptes cloud mal configurés.
Que faire avant lundi
Toute organisation exploitant TrueConf Server en version 5.3.x, 5.4.x ou 5.5.x devrait vérifier sa version dès maintenant et passer immédiatement à 5.3.9, 5.4.9 ou 5.5.5, puisque les trois branches contiennent déjà le correctif.
Quand une mise à jour immédiate n'est pas possible, restreindre l'accès réseau au port 4307 et auditer les journaux récents du serveur à la recherche d'appels à la fonction non documentée sont les mesures minimales en attendant l'application du correctif.
À lire ensuite: La faille de SAP Commerce Cloud exploitée avant d'être corrigée | Deux failles SharePoint s'enchaînent en RCE totale
