Klient TrueConf instalował aktualizacje bez sprawdzenia podpisu, więc przejęty serwer mógł rozesłać złośliwy program na wszystkie komputery. CISA potwierdza ataki. Zaktualizuj klienta do 8.5.3.884 i sprawdź serwer.
Ten alert jest dla zarządu, CTO i CFO firm, które używają komunikatora TrueConf do wideokonferencji, zwłaszcza z własnym serwerem TrueConf w siedzibie. Werdykt: jeśli na komputerach pracowników działa klient TrueConf dla Windows starszy niż 8.5.3.884, zaktualizuj go dziś, bo luka w mechanizmie aktualizacji była już wykorzystana w ukierunkowanych atakach.
Amerykańska agencja CISA 2 kwietnia 2026 roku dopisała podatność CVE-2026-3502 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Klient TrueConf pobierał aktualizacje i instalował je bez sprawdzenia, czy pochodzą od producenta i czy nikt ich po drodze nie zmienił. Kto kontroluje serwer TrueConf albo drogę dostarczania aktualizacji, może podsunąć wszystkim podłączonym komputerom własny program udający nową wersję.
Błąd wykryła firma Check Point, opisując kampanię „TrueChaos” wymierzoną w instytucje rządowe w Azji Południowo-Wschodniej. Termin naprawy wyznaczony przez CISA minął 16 kwietnia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-3502 (w europejskiej bazie EUVD-2026-17162) |
Data dodania do CISA KEV | 2026-04-02 |
Termin naprawy wg CISA | 2026-04-16 (14 dni od wpisu) |
Produkt | TrueConf Client (aplikacja do wideokonferencji), mechanizm aktualizacji |
Wersje zagrożone | Wg NVD: klient dla Windows starszy niż 8.5.3.884. Wg EUVD: wersje od 8.1.0 do 8.5.2. Szczególnie narażone są instalacje połączone z własnym serwerem TrueConf (on-premises), z którego klient pobiera aktualizacje |
Wersje bezpieczne | Pierwsza z poprawką: 8.5.3 (wg NVD 8.5.3.884, wydana w marcu 2026). Najnowsza na stronie producenta w dniu pisania: 8.5.5.173 dla Windows 10/11 |
Typ podatności | Pobieranie kodu bez sprawdzenia integralności; CWE-494 |
Ocena CVSS | Check Point (zapis w NVD): 7.8 (CVSS 3.1, WYSOKA). Wektor: sieć sąsiednia, niska złożoność, wysokie uprawnienia, wymagany udział użytkownika, skutki wykraczają poza sam program. NVD nie wystawiło własnej oceny |
Rozbieżność zakresów wersji między NVD i EUVD jest niewielka, ale istotna dla wersji z początku linii 8.5. Bezpieczna zasada: uznaj za naprawioną dopiero wersję 8.5.3.884 lub nowszą i sprawdź numer w oknie „O programie”, a nie z pamięci.
Wyobraź sobie firmę, w której dział administracji co miesiąc rozsyła pracownikom nowe wersje formularzy w zaklejonych kopertach. Pracownicy wypełniają je bez zastanowienia, bo przychodzą z właściwego pokoju. Nikt jednak nie sprawdza pieczęci na kopercie. Wystarczy, że ktoś niepowołany dostanie się do pokoju administracji i podmieni zawartość kopert, a wszyscy pracownicy sami wykonają jego polecenia.
Tak działała ta luka. Klient TrueConf przy starcie pyta swój serwer, czy jest nowsza wersja. Jeśli tak, proponuje pobranie i instalację. Nie sprawdzał jednak podpisu cyfrowego paczki, więc gdy napastnik podmienił plik na serwerze, każdy pracownik, który kliknął „aktualizuj”, instalował złośliwe oprogramowanie w przekonaniu, że aktualizuje komunikator.
💡 Podpis cyfrowy to elektroniczna „plomba”, dzięki której program może sprawdzić, że plik pochodzi od producenta i nie został zmieniony. Serwer on-premises to serwer stojący we własnej infrastrukturze firmy, a nie w chmurze dostawcy. Luka zero-day to błąd wykorzystywany, zanim producent o nim wiedział. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Klient TrueConf pobiera aktualizację | Sprawdza podpis producenta, odrzuca obcy plik | Instaluje wszystko, co przyszło z serwera |
Napastnik przejął serwer TrueConf | Może zakłócić rozmowy, ale nie przejmie komputerów pracowników | Rozsyła złośliwy program na wszystkie podłączone komputery |
Pracownik widzi komunikat o nowej wersji | Bezpieczna rutyna | Kliknięcie uruchamia kod napastnika |
Program antywirusowy | Widzi instalację zaufanej aplikacji | Może nie zareagować, bo instalacja wygląda na legalną |
Skala szkód | Jeden komputer przy klasycznym ataku | Wszystkie komputery korzystające z tego serwera |
źródło: Pexels, Kampus ProductionPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na mechanizmie opisanym przez Check Point. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie zaczyna się od „każdego z internetu”: wymaga wysokich uprawnień, czyli najpierw przejęcia serwera TrueConf albo innego wpływu na drogę dostarczania aktualizacji, oraz kliknięcia przez użytkownika. Dlatego jest ukierunkowany, a nie masowy.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przejęcie serwera | T+0 | Włamanie na serwer TrueConf w firmie lub u dostawcy usługi (inną drogą, np. przez słabe hasło administratora) | Kontrola nad plikami aktualizacji |
2. Podmiana paczki | T+godziny | Zastąpienie instalatora klienta wersją ze złośliwym dodatkiem, nadal aktualizującą komunikator | Pułapka gotowa |
3. Zachęta | T+godziny do dni | Wysłanie pracownikom linku otwierającego TrueConf; klient pokazuje komunikat o nowej wersji | Pracownicy klikają „aktualizuj” |
4. Instalacja | T+minuty od kliknięcia | Komunikator się aktualizuje, a w tle instaluje się narzędzie napastnika | Kod napastnika działa na komputerze |
5. Rozpoznanie i utrwalenie | T+dni | Ręczne rozpoznanie sieci, zapewnienie sobie stałego dostępu | Trwała obecność w wielu komputerach |
6. Kradzież danych | T+tygodnie | Kopiowanie dokumentów i korespondencji | Wyciek informacji, często niezauważony |
Mogę Ci jakoś pomóc?
Mechanizm aktualizacji to kanał, któremu ufają i system, i pracownicy. Luka zamienia go w kanał dystrybucji złośliwego oprogramowania na wszystkie komputery naraz. Dla firmy, która nie jest celem wywiadowczym ani nie ma własnego serwera TrueConf, prawdopodobieństwo jest niskie; dla firmy z własnym serwerem i cennymi danymi jest realne.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Konieczność czyszczenia lub reinstalacji wielu komputerów naraz, wyłączenie komunikatora | Dni od wykrycia | 20 tys. do 200 tys. PLN (prace IT, przestój) |
Bezpieczeństwo danych | Kradzież dokumentów, korespondencji, danych przetargowych i klientów | Dni do tygodni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utracone przetargi i przewaga konkurencyjna, koszty zewnętrznych specjalistów | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i spółek z grupy, jeśli ich komputery zostały zainfekowane przez nasz serwer | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z klientem TrueConf starszym
niż 8.5.3.884 i własnym serwerem TrueConf
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo jedna podmiana paczki może przejąć wiele komputerów, ale prawdopodobieństwo jest średnie, bo napastnik musi najpierw zdobyć kontrolę nad serwerem lub drogą aktualizacji, a ataku nie da się zautomatyzować (CISA); firma bez TrueConf jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, na których komputerach jest zainstalowany klient TrueConf i w jakiej wersji | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zaktualizować klienta do 8.5.3.884 lub nowszego, pobierając instalator bezpośrednio ze strony producenta i sprawdzając sumę kontrolną | Do 2 dni | Administrator IT |
3 | 🔴 NATYCHMIAST | Jeśli firma ma własny serwer TrueConf: sprawdzić, czy plik instalatora klienta w katalogu ClientInstFiles na serwerze nie został podmieniony | Dziś | Administrator serwera |
4 | 🟠 PILNIE | Zaktualizować serwer TrueConf i zmienić hasła kont administracyjnych serwera | Do 3 dni | Administrator serwera / partner IT |
5 | 🟠 PILNIE | Przejrzeć komputery, które instalowały aktualizację TrueConf od początku 2026 roku, pod kątem nieznanych programów | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Odinstalować TrueConf tam, gdzie nie jest używany | Do 14 dni | Administrator IT |
7 | 🟡 WAŻNIE | Wprowadzić zasadę, że aktualizacje aplikacji na firmowych komputerach wdraża IT, a nie użytkownik | Do 30 dni | CTO |
Producent wydał poprawioną wersję klienta 8.5.3 w marcu 2026 roku, więc aktualizacja jest dostępna i to ona jest właściwym rozwiązaniem. Poniższe miary tylko zmniejszają ryzyko na czas wdrożenia. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Polecenie pracownikom, by nie akceptowali komunikatów o aktualizacji TrueConf, dopóki IT nie wdroży nowej wersji | Średnia: zależy od dyscypliny użytkowników | Łatwa |
Ręczna instalacja nowego klienta z oficjalnej strony z weryfikacją sumy kontrolnej zamiast aktualizacji z serwera | Wysoka | Średnia przy wielu komputerach |
Ograniczenie i wzmocnienie dostępu administracyjnego do serwera TrueConf (silne hasła, MFA, lista zaufanych adresów) | Średnia: utrudnia pierwszy krok ataku | Średnia |
Blokada uruchamiania programów z nietypowych katalogów (np. ProgramData) przez zasady systemu | Średnia: utrudnia instalację narzędzi napastnika | Średnia do trudnej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Aktualizacje TrueConf | Instalowane bez sprawdzenia podpisu | Klient 8.5.3.884+ z poprawką |
Serwer TrueConf | Potencjalny punkt dystrybucji złośliwego oprogramowania | Zaktualizowany, pliki sprawdzone, hasła zmienione |
Wiedza o instalacjach | Nieznana liczba klientów, także zapomnianych | Pełna lista, nieużywane usunięte |
Kto decyduje o aktualizacjach | Użytkownik klika komunikat | IT wdraża sprawdzone wersje |
Zgodność z wymogami | Zaległość wobec terminu CISA sprzed 5 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Check Point opisał wykorzystanie jako luki zero-day w kampanii „TrueChaos” na początku 2026 roku |
Grupy przestępcze | Check Point z umiarkowaną pewnością łączy kampanię z grupą powiązaną z Chinami; ofiary: instytucje rządowe w Azji Południowo-Wschodniej, zainfekowane przez wspólny rządowy serwer TrueConf |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown); opisana kampania miała charakter szpiegowski |
Ocena CVSS | 7.8 WYSOKA wg Check Point (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji o gotowym kodzie ataku; mechanizm błędu jest opisany w raporcie Check Point |
Liczba atakowanych firm | Brak pełnych danych; w opisanej kampanii złośliwą aktualizację otrzymało kilkadziesiąt instytucji obsługiwanych przez jeden serwer |
Prognoza EPSS | Ok. 5,75% szansy próby wykorzystania w 30 dni (23 sierpnia 2026), ale percentyl 92,6, czyli górne 8% wszystkich podatności |
Niski wskaźnik EPSS nie oznacza braku ataków, tylko to, że atak nie jest masowy. Dla firmy, która jest celem, liczy się to, czy ma coś wartościowego dla napastnika.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2026-3502
CVSS 3.1 (Check Point) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~5,8% █░░░░░░░░░░░░░░░░░░░ NISKA
EPSS percentyl 92,6 ███████████████████░ górne 8%
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) NIE ░░░░░░░░░░░░░░░░░░░░ atak ukierunkowany 2026 (początek) Check Point obserwuje ataki z użyciem luki (zero-day)
2026-03 TrueConf wydaje klienta 8.5.3 z poprawką
2026-03-30 Publikacja CVE-2026-3502 w NVD
2026-03-31 CISA ocenia wykorzystanie jako aktywne
2026-04-02 CISA dodaje lukę do katalogu KEV
2026-04-16 Termin naprawy wg CISA
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08-23 EPSS: ok. 5,75%, percentyl 92,6
2026-09-17: TUTAJ JESTEŚMY Informacja producenta o wydaniu TrueConf 8.5 (z odnośnikiem do 8.5.3): trueconf.com/blog/update/trueconf-8-5 . Pobieranie klienta dla Windows z sumą kontrolną: trueconf.com/downloads/windows.html . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-3502 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa TrueConf i czy ma własny serwer TrueConf | CTO | DZISIAJ |
2 | Zlecić aktualizację klientów do 8.5.3.884 lub nowszej z oficjalnej strony | CTO | DZISIAJ |
3 | Zlecić sprawdzenie plików aktualizacji na serwerze TrueConf | CTO | DZISIAJ |
4 | Zatwierdzić zmianę haseł administratorów serwera i przegląd dostępu podwykonawców | CTO | DO JUTRA |
5 | Zlecić przegląd komputerów pod kątem śladów złośliwej aktualizacji | CTO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
7 | Sprawdzić, czy umowa z dostawcą usług wideokonferencji określa odpowiedzialność za bezpieczeństwo serwera | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na ilu komputerach jest zainstalowany klient TrueConf i w jakiej wersji? | [liczba], [wersja] | 🔴 |
2 | Czy mamy własny serwer TrueConf, czy korzystamy z serwera dostawcy? | WŁASNY / DOSTAWCY / BRAK | 🔴 |
3 | Czy sprawdziliśmy, że instalator klienta na serwerze jest oryginalny? | TAK / NIE | 🔴 |
4 | Kto ma uprawnienia administratora serwera TrueConf i czy konta są chronione MFA? | [lista osób], TAK / NIE | 🟠 |
5 | Czy od początku 2026 roku pracownicy instalowali aktualizacje TrueConf z komunikatu w programie? | TAK / NIE | 🟠 |
6 | Kiedy wszystkie komputery będą miały wersję 8.5.3.884 lub nowszą? | [data] | 🟠 |
7 | Czy użytkownicy mogą sami instalować aktualizacje aplikacji na firmowych komputerach? | TAK / NIE | 🟡 |
CVE-2026-3502 pozwala napastnikowi, który kontroluje serwer TrueConf lub drogę aktualizacji, rozesłać złośliwy program na wszystkie komputery z klientem TrueConf starszym niż 8.5.3.884. Luka była wykorzystana w szpiegowskiej kampanii przeciw instytucjom rządowym, a poprawka jest dostępna od marca 2026 roku, więc aktualizacja klientów i sprawdzenie serwera to zadanie na ten tydzień, najlepiej na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.