Nieudokumentowana funkcja na porcie 4307/TCP w TrueConf Server (CVE-2026-72529) wykonuje skrypty bez logowania. Grupa Head Mare podmieniała przez nią instalatory klienta. Zaktualizuj serwer, zablokuj port i sprawdź ślady włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które prowadzą wideokonferencje na własnym serwerze TrueConf, a także firm, których pracownicy łączą się z serwerami TrueConf partnerów. Werdykt: jeśli TrueConf Server ma wersję starszą niż 5.3.9, 5.4.9 lub 5.5.5 (z odpowiednim numerem kompilacji), zaktualizuj go dziś, zablokuj port 4307/TCP z zewnątrz i sprawdź ślady włamania, bo grupa APT wykorzystywała tę lukę do podmiany instalatorów klienta na zainfekowane.
Amerykańska agencja CISA 20 sierpnia 2026 roku dopisała podatność CVE-2026-72529 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach, i dała tylko 3 dni na naprawę. TrueConf Server to serwer wideokonferencji instalowany na własnej maszynie z Windows lub Linuksem. Na porcie 4307/TCP, domyślnie otwartym, czeka nieudokumentowana funkcja, którą każdy bez logowania może wywołać, żeby uruchomić na serwerze własny skrypt.
Według Kaspersky grupa Head Mare łączyła tę lukę z drugą, CVE-2026-72530 (ucieczka ze środowiska izolowanego), i zdobywała najwyższe uprawnienia na serwerze. Następnie podmieniała instalatory klienta TrueConf na wersje z backdoorem PhantomCore, rozsyłane uczestnikom spotkań. Producent wydał poprawki 18 czerwca 2026 roku. Termin CISA minął 23 sierpnia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-72529 (KLCERT-26-057, EUVD-2026-62587, BDU:2026-11246); łączona w atakach z CVE-2026-72530 |
Data dodania do CISA KEV | 2026-08-20 |
Termin naprawy wg CISA | 2026-08-23 (3 dni od wpisu) |
Produkt | TrueConf Server (Windows i Linux), usługa na porcie 4307/TCP |
Wersje zagrożone | Wszystkie wersje przed 5.3; 5.3.x przed 5.3.9; 5.4.x przed 5.4.9; 5.5.x przed 5.5.5 (producent i Kaspersky ICS CERT). NVD opisuje zakres jako 5.3.X do 5.3.9, 5.4.X do 5.4.9 i 5.5.X do 5.5.5, z granicami w numerach kompilacji |
Wersje bezpieczne | Producent: 5.5.5.10010+ (Windows), 5.5.5.10009+ (Linux), 5.4.9.10018+ (Windows), 5.4.9.10019+ (Linux), 5.3.9.10013+ (Windows), 5.3.9.10015+ (Linux). Uwaga: NVD dla 5.4 na Windows podaje granicę 5.4.9.10072, więc najbezpieczniej wgrać najnowszą kompilację danej gałęzi |
Typ podatności | Brak uwierzytelnienia dla funkcji krytycznej; CWE-306 |
Ocena CVSS | Kaspersky: 9.8 (CVSS 3.1, KRYTYCZNA) i 9.3 (CVSS 4.0, KRYTYCZNA). Producent: 9.8. ENISA podaje 9.3. Atak przez sieć, niska złożoność, bez uprawnień i bez udziału użytkownika, pełny wpływ. NVD nie wystawił własnej oceny |
W atakach opisanych przez Kaspersky luka była pierwszym krokiem: skrypt uruchamiał się w środowisku izolowanym, z którego napastnicy wychodzili przez CVE-2026-72530 (w KEV od 20 sierpnia 2026 roku, termin 3 września 2026 roku). Te same wersje usuwają obie luki.
Wyobraź sobie biurowiec, w którym recepcja starannie sprawdza gości. Z tyłu budynku jest jednak okienko obsługi technicznej, o którym nie wspomina żaden regulamin. Kto zapuka i poda właściwe hasło techniczne, bez legitymacji, dostaje przez okienko dostęp do tablicy rozdzielczej. Nikt niczego nie wyłamuje: okienko po prostu nie pyta, kto pyta.
Tak działa ten błąd. Uczestnicy spotkań łączą się z serwerem TrueConf przez zwykłe porty, ale usługa na porcie 4307/TCP przyjmuje wywołanie nieudokumentowanej funkcji bez żadnego logowania i wykonuje przysłany skrypt. Napastnicy z grupy Head Mare, po wyjściu z izolacji dzięki drugiej luce, zmieniali serwer w narzędzie ataku na innych: podmieniali pliki instalacyjne klienta, więc pracownicy i partnerzy pobierający aplikację do spotkań instalowali sobie backdoor.
💡 Port to numerowane wejście do serwera, pod którym działa konkretna usługa. Nieudokumentowana funkcja to polecenie, którego nie opisuje instrukcja produktu. Brak uwierzytelnienia oznacza, że serwer nie sprawdza, kto wysyła polecenie. Backdoor (tylna furtka) to ukryty program dający napastnikowi stały dostęp. Powłoka webowa (web shell) to plik na serwerze WWW, przez który napastnik wydaje polecenia. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Połączenie z portem 4307/TCP | Obsługa wewnętrzna serwera | Wykonanie skryptu napastnika bez logowania |
Pracownik pobiera klienta TrueConf z firmowego serwera | Instaluje oryginalną aplikację | Może zainstalować wersję z backdoorem PhantomCore |
Partner łączy się na spotkanie z Twoim serwerem | Uczestniczy w rozmowie | Może zostać zainfekowany przez podmieniony instalator |
Nagrania i baza TrueConf | Dostępne dla administratorów | W zasięgu napastnika z uprzywilejowanym dostępem |
Aktualizacja serwera | Zamyka sprawę | Zamyka lukę, ale nie usuwa powłoki webowej ani backdoorów |
źródło: magnific.comPoniżej typowy przebieg ataku, oparty na opisie działań grupy Head Mare przygotowanym przez Kaspersky. To scenariusz poglądowy, a nie odtworzenie incydentu w Twojej firmie. Atak nie wymaga konta ani udziału pracownika, a port 4307/TCP jest według dokumentacji produktu domyślnie otwarty. CISA ocenia atak jako możliwy do zautomatyzowania.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Połączenie | T+0 min | Połączenie z portem 4307/TCP serwera TrueConf bez logowania | Dostęp do nieudokumentowanej funkcji |
2. Wykonanie skryptu | T+sekundy | Przesłanie i uruchomienie skryptu (CVE-2026-72529) | Kod działa w środowisku izolowanym |
3. Ucieczka z izolacji | T+sekundy | Wykorzystanie CVE-2026-72530 | Wykonanie kodu z uprawnieniami NT AUTHORITY\SYSTEM |
4. Powłoka webowa | T+minuty | Podmiana pliku | Stała kontrola nad serwerem |
5. Rozpoznanie i baza danych | T+godziny | Zbieranie informacji o infrastrukturze, uprzywilejowany dostęp do bazy TrueConf, zrzut pamięci procesu lsass.exe, tunel SSH | Hasła i mapa sieci |
6. Infekcja uczestników | T+dni | Podmiana instalatora klienta TrueConf na wersję z PhantomCore, instalacja backdoora PhantomGraph | Zainfekowane komputery pracowników i partnerów |
Mogę Ci jakoś pomóc?
Serwer wideokonferencji przechowuje nagrania, kalendarz spotkań, listy uczestników i konta pracowników, a do tego jest źródłem aplikacji instalowanej na komputerach pracowników i gości. Luka pozwala przejąć go bez hasła, a opisany atak zamienia serwer w narzędzie infekowania kolejnych firm. CISA dała tylko 3 dni na naprawę.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie systemu spotkań, reinstalacja serwera i zainfekowanych komputerów | Dni | 30 tys. do 300 tys. PLN (odtwarzanie, reinstalacja stacji) |
Bezpieczeństwo danych | Wyciek nagrań rozmów, list uczestników, haseł z pamięci systemu | Godziny do dni | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty dochodzenia, wymiany haseł, obsługi zainfekowanych partnerów | Tygodnie | 100 tys. do 800 tys. PLN łącznie |
Reputacyjny | Klienci i partnerzy zainfekowani przez Twój serwer | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób (nagrania rozmów to dane osobowe); możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z TrueConf Server bez poprawki
i portem 4307/TCP dostępnym z zewnątrz
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (przejęcie serwera z uprawnieniami SYSTEM i infekowanie uczestników spotkań), a prawdopodobieństwo wysokie (potwierdzone ataki, atak automatyzowalny, termin CISA 3 dni), choć nie najwyższe, bo opisane kampanie są celowane, a EPSS nie plasuje luki w czołówce.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić pełny numer kompilacji TrueConf Server (z ostatnim członem) i porównać z sekcją 1 | Dziś | Administrator TrueConf |
2 | 🔴 NATYCHMIAST | Zablokować dostęp do portu 4307/TCP z internetu i z sieci, które go nie potrzebują | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować serwer do najnowszej kompilacji 5.3.9, 5.4.9 lub 5.5.5 dla swojej gałęzi i systemu | Dziś | Administrator TrueConf / partner IT |
4 | 🔴 NATYCHMIAST | Przed i po aktualizacji sprawdzić ślady włamania: zmieniony plik | Dziś | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Sprawdzić, czy instalatory klienta TrueConf udostępniane przez serwer mają ważny podpis cyfrowy TrueConf | Do 24 godzin | Administrator TrueConf |
6 | 🟠 PILNIE | Przy śladach włamania: zmienić hasła wszystkich kont, które mogły być dotknięte, sprawdzić komputery, na których instalowano klienta, powiadomić partnerów | Do 3 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić zasadę instalowania klienta TrueConf tylko ze strony producenta z weryfikacją podpisu, także przy spotkaniach z partnerami | Do 14 dni | CTO |
Producent wydał poprawki 18 czerwca 2026 roku dla gałęzi 5.3, 5.4 i 5.5. Kaspersky ICS CERT zaleca aktualizację, pełne skanowanie antywirusowe i sprawdzenie wskaźników włamania. Wersje sprzed 5.3 wymagają przejścia na gałąź z poprawką. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada portu 4307/TCP z internetu i z niezaufanych sieci | Wysoka wobec ataków z zewnątrz | Łatwa, wymaga sprawdzenia, czy port jest potrzebny do pracy |
Weryfikacja podpisu cyfrowego instalatorów klienta TrueConf (zalecenie Kaspersky) | Wysoka wobec infekcji uczestników | Łatwa |
Pełne skanowanie antywirusowe i sprawdzenie wskaźników włamania (zalecenie Kaspersky ICS CERT) | Nie blokuje ataku, wykrywa skutki | Średnia |
Monitorowanie tworzenia plików przez procesy TrueConf i zrzutów pamięci lsass.exe | Średnia w wykrywaniu | Średnia, wymaga EDR lub SIEM |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
TrueConf Server | Wykonanie skryptu bez logowania | Najnowsza kompilacja z poprawką |
Port 4307/TCP | Domyślnie otwarty | Zablokowany z zewnątrz |
Instalatory klienta | Niesprawdzone | Zweryfikowany podpis cyfrowy |
Wiedza o włamaniu | Brak | Sprawdzone pliki, usługi, rejestr i logi |
Zgodność z wymogami | Ponad 3 tygodnie po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, atak automatyzowalny, wpływ całkowity |
Grupy przestępcze | Head Mare (wg Kaspersky), kampanie wymierzone w rosyjskie organizacje z branż: produkcja instrumentów, elektronika, transport, energetyka, IT i oprogramowanie |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, Kaspersky i producent); 9.3 KRYTYCZNA (CVSS 4.0, Kaspersky) |
PoC dostępny publicznie? | Brak publicznego kodu ataku; Kaspersky opisał przebieg ataku i wskaźniki włamania |
Liczba atakowanych firm | Brak publicznych informacji |
Złośliwe oprogramowanie | PhantomCore i PhantomGraph (serwer dowodzenia w usłudze OneDrive), powłoka webowa w pliku locale.php |
Kto zgłosił błąd | Vyacheslav Kopeytsev, Kaspersky ICS CERT |
Prognoza EPSS | Niska, mniej więcej w trzech czwartych stawki wszystkich podatności, a nie w czołówce (wg analizy źródłowej) |
Termin 3 dni wynika z dyrektywy CISA BOD 26-04, która priorytetyzuje luki wystawione publicznie i dające pełną kontrolę nad maszyną, oraz wymaga sprawdzenia śladów włamania przed założeniem poprawki:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2026-72529
CVSS 3.1 (Kaspersky) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (Kaspersky) 9.3/10 ███████████████████░ KRYTYCZNA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ możliwa
Termin CISA 3 dni ████████████████████ tryb pilny
EPSS niski ████░░░░░░░░░░░░░░░░ ataki celowane 2026-06-18 TrueConf wydaje wersje 5.3.9, 5.4.9 i 5.5.5 z poprawkami
2026-08-07 Kaspersky ICS CERT przygotowuje komunikat KLCERT-26-057
2026-08-11 Publikacja komunikatu Kaspersky ICS CERT
2026-08-19 Publikacja CVE-2026-72529 w NVD
2026-08-20 CISA dodaje CVE-2026-72529 i CVE-2026-72530 do KEV
2026-08-23 Termin naprawy wg CISA dla CVE-2026-72529
2026-09-03 Termin naprawy wg CISA dla CVE-2026-72530
... ponad 3 tygodnie od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Poprawki bezpieczeństwa producenta: trueconf.com: Security fixes, updates and advisories . Komunikat Kaspersky ICS CERT: ics-cert.kaspersky.com: KLCERT-26-057 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-72529 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma ma własny serwer TrueConf i kto nim zarządza | CTO | DZISIAJ |
2 | Uzyskać pełny numer kompilacji serwera i potwierdzenie aktualizacji | CTO | DZISIAJ |
3 | Zatwierdzić blokadę portu 4307/TCP z internetu | CTO | DZISIAJ |
4 | Zlecić sprawdzenie wskaźników włamania z raportu Kaspersky | CTO | DZISIAJ |
5 | Ustalić, z jakich serwerów TrueConf partnerów korzystają pracownicy | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i sprawdzenie komputerów z zainstalowanym klientem | CFO | DO JUTRA |
7 | Przygotować wzór powiadomienia partnerów, jeśli serwer okaże się przejęty | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki pełny numer kompilacji ma nasz TrueConf Server? | [wersja] | 🔴 |
2 | Czy port 4307/TCP jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Czy plik | TAK / NIE | 🔴 |
4 | Czy instalatory klienta na serwerze mają ważny podpis cyfrowy TrueConf? | TAK / NIE | 🔴 |
5 | Kiedy zainstalowano aktualizację z czerwca 2026 roku? | [data] | 🟠 |
6 | Czy logi TrueConf są kompletne, czy brakuje w nich wpisów? | TAK / NIE | 🟠 |
7 | Z jakich zewnętrznych serwerów TrueConf korzystają nasi pracownicy? | [lista] | 🟡 |
CVE-2026-72529 pozwala każdemu, kto dosięgnie portu 4307/TCP, uruchomić skrypt na serwerze TrueConf bez logowania, a w połączeniu z CVE-2026-72530 przejąć serwer i rozsyłać uczestnikom spotkań zainfekowane instalatory. Aktualizacja do najnowszej kompilacji z poprawką, blokada portu i sprawdzenie wskaźników włamania z raportu Kaspersky to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.