Um prazo de três dias para duas falhas críticas
Em 20 de agosto de 2026, a CISA acrescentou duas vulnerabilidades do TrueConf Server ao seu catálogo de vulnerabilidades exploradas ativamente e deu às agências federais dos Estados Unidos até 23 de agosto para corrigir.
Ambas as falhas têm gravidade crítica, ambas já são exploradas ativamente, e nenhuma exige palavra-passe: quem alcançar a porta 4307 do TrueConf Server pela rede pode comprometê-lo sem alguma vez iniciar sessão.
O que fazem realmente a CVE-2026-72529 e a CVE-2026-72530
A primeira falha, a CVE-2026-72529, é uma autenticação em falta: o TrueConf Server expõe na porta 4307/TCP uma função não documentada que permite a um atacante remoto não autenticado executar um script arbitrário, sem quaisquer credenciais.
| CVE | Tipo | Versões afetadas | Corrigido em |
|---|---|---|---|
| CVE-2026-72529 | Autenticação em falta, execução remota de código não autenticada através de uma função não documentada na porta 4307/TCP | 5.3.x-5.3.9, 5.4.x-5.4.9, 5.5.x-5.5.5 e anteriores | 5.3.9 / 5.4.9 / 5.5.5 |
| CVE-2026-72530 | Injeção de código que permite escapar do ambiente isolado do servidor e executar código no anfitrião | 5.3.x-5.3.9, 5.4.x-5.4.9, 5.5.x-5.5.5 e anteriores | 5.3.9 / 5.4.9 / 5.5.5 |
A segunda falha, a CVE-2026-72530, é uma injeção de código que permite a um atacante que já alcançou o servidor escapar do seu ambiente isolado e executar código arbitrário diretamente na máquina anfitriã, transformando um erro contido em controlo total do servidor.
A Kaspersky remonta a exploração ativa a instaladores infetados
A equipa ICS CERT da Kaspersky documentou atacantes a explorar exatamente esta cadeia de vulnerabilidades para substituir instaladores legítimos do cliente TrueConf por versões envenenadas com as portas traseiras PhantomCore e PhantomGraph.
A Kaspersky atribuiu a campanha a um grupo que acompanha sob o nome de Head Mare e afirmou que os instaladores envenenados foram detetados pela primeira vez em julho de 2026, distribuídos através de servidores TrueConf comprometidos a participantes de reuniões que confiavam na atualização.
A promessa de soberania esbarra numa porta traseira aberta
O TrueConf promove a sua implementação local como a resposta para organizações que querem manter as videoconferências totalmente fora da infraestrutura cloud dos Estados Unidos, dirigindo-se diretamente a clientes governamentais, de saúde e financeiros com regras rígidas de localização de dados.
Essa promessa não está errada, mas está incompleta: um servidor autogerido, pensado para evitar a dependência de um fornecedor de cloud estrangeiro, exige a mesma disciplina de correção que esse fornecedor teria de outro modo assumido, e um buraco sem autenticação numa porta exposta à internet é um ponto de partida pior do que a maioria das contas cloud mal configuradas.
O que fazer antes de segunda-feira
Qualquer organização que execute o TrueConf Server na versão 5.3.x, 5.4.x ou 5.5.x deve verificar já a sua versão e atualizar de imediato para 5.3.9, 5.4.9 ou 5.5.5, uma vez que as três linhas de versão já contêm a correção.
Quando uma atualização imediata não for possível, restringir o acesso de rede à porta 4307 e auditar os registos recentes do servidor à procura de chamadas à função não documentada são as medidas mínimas até a correção ser aplicada.
Leia a seguir: Falha do SAP Commerce Cloud foi explorada antes de a maioria a corrigir | Duas falhas do SharePoint encadeiam para RCE total
