Błąd w TrueConf Server pozwala przez port 4307/TCP wyjść z piaskownicy i wykonać kod na serwerze. Grupa Head Mare podmieniała tak instalatory aplikacji. Zaktualizuj serwer, ogranicz port i sprawdź ślady włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które prowadzą wideokonferencje na własnym serwerze TrueConf Server. Werdykt: jeśli serwer ma wersję starszą niż 5.3.9, 5.4.9 lub 5.5.5 (z odpowiednim numerem kompilacji), zaktualizuj go dziś i sprawdź, czy nie został już przejęty, bo luka jest wykorzystywana przez grupę APT do podmiany instalatorów aplikacji dla uczestników konferencji.
Amerykańska agencja CISA 20 sierpnia 2026 roku dopisała podatność CVE-2026-72530 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia trafiła tam bliźniacza luka w tym samym produkcie, CVE-2026-72529.
TrueConf Server potrafi wykonywać skrypty w wydzielonym, odizolowanym środowisku (piaskownicy), które ma uniemożliwić im dostęp do systemu. Ta luka pozwala spreparowanemu skryptowi wyjść z piaskownicy i wykonać dowolny kod na samym serwerze. Napastnik nie potrzebuje konta ani udziału użytkownika, wystarczy mu dostęp sieciowy do portu 4307/TCP, który według dokumentacji produktu jest domyślnie otwarty.
Kaspersky opisał prawdziwy atak grupy Head Mare, która połączyła obie luki, przejęła serwer z najwyższymi uprawnieniami i podmieniła instalator aplikacji TrueConf Client na wersję z tylnymi drzwiami. Termin naprawy wyznaczony przez CISA minął 3 września 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-72530 (identyfikator Kaspersky: KLCERT-26-058) |
Data dodania do CISA KEV | 2026-08-20 |
Termin naprawy wg CISA | 2026-09-03 (14 dni od wpisu) |
Produkt | TrueConf Server (serwer wideokonferencji) dla Windows i Linux |
Wersje zagrożone | Wszystkie wersje przed 5.3, gałąź 5.3.X przed 5.3.9, 5.4.X przed 5.4.9, 5.5.X przed 5.5.5. Warunek ataku: dostęp sieciowy do portu 4307/TCP. Według producenta luka pozwala uciec z piaskownicy komuś, kto już uruchamia w niej kod; w zaobserwowanym ataku umożliwiała to bliźniacza luka CVE-2026-72529 |
Wersje bezpieczne | Producent: Windows 5.3.9.10013, 5.4.9.10018, 5.5.5.10010 lub nowsze; Linux 5.3.9.10015, 5.4.9.10019, 5.5.5.10009 lub nowsze (wydania z 18 czerwca 2026). NVD dla gałęzi 5.4 na Windows podaje próg 5.4.9.10072, więc bezpieczniej mieć tę kompilację lub nowszą. Liczy się pełny numer kompilacji z panelu serwera |
Typ podatności | Wstrzyknięcie kodu z ucieczką z odizolowanego środowiska na system gospodarza; CWE-94 |
Ocena CVSS | Kaspersky (w NVD): 9.5 (CVSS 4.0, KRYTYCZNA) oraz 9.0 (CVSS 3.1, KRYTYCZNA); producent: 9.0 (CVSS 3.1). Atak przez sieć, bez logowania i bez udziału użytkownika, ale o wysokiej złożoności i przy dodatkowym warunku po stronie celu |
Wyobraź sobie hurtownię, w której klienci mogą zostawić w okienku kartkę z zamówieniem. Kartki trafiają do zamkniętego pokoju, gdzie pracownik tylko je czyta i niczego nie wydaje, więc nawet dziwna kartka nie powinna nic zmienić. Okazuje się jednak, że odpowiednio napisana kartka sprawia, że pracownik wychodzi z pokoju, idzie do magazynu i wykonuje zapisane polecenia, a na koniec podmienia towar wydawany wszystkim klientom.
Tak działa ta luka. Piaskownica w TrueConf Server miała sprawić, że skrypt nie dotknie systemu. Błąd pozwala z niej wyjść i przejąć serwer. W opisanym ataku napastnicy zamienili plik strony na tzw. web shell, zdobyli dostęp do bazy danych TrueConf i podmienili instalator aplikacji klienckiej, więc zagrożeni byli także uczestnicy konferencji, którzy pobrali program z firmowego serwera.
💡 Piaskownica (sandbox) to odizolowane środowisko, w którym program działa z mocno ograniczonymi uprawnieniami. Wstrzyknięcie kodu oznacza, że program traktuje przesłane dane jak polecenia do wykonania. Web shell to podrzucony plik strony, przez który napastnik steruje serwerem z przeglądarki. APT to zorganizowana grupa prowadząca długotrwałe, ukierunkowane ataki. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Skrypt uruchomiony na serwerze TrueConf | Działa w piaskownicy bez dostępu do systemu | Wychodzi z piaskownicy i wykonuje dowolny kod |
Ktoś łączy się z portem 4307/TCP | Obsługa zwykłych funkcji serwera | Punkt wejścia do ataku bez logowania |
Pracownik pobiera aplikację TrueConf Client z firmowego serwera | Dostaje oryginalny instalator | Może dostać instalator z tylnymi drzwiami |
Baza danych konferencji | Dostępna tylko dla serwera | Dostęp uprzywilejowany dla napastnika |
Serwer w tej samej sieci co księgowość i magazyn | Wygodne zarządzanie | Wygodny punkt wyjścia do reszty sieci |
źródło: Wygenerowane przez AIPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na łańcuchu opisanym przez Kaspersky. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka wymaga dostępu sieciowego do portu 4307/TCP i w praktyce jest łączona z bliźniaczą luką, która pozwala w ogóle uruchomić skrypt. CISA ocenia, że ataku nie da się w pełni zautomatyzować, więc jest to raczej praca na wybranych celach niż masowe skanowanie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie serwerów TrueConf z dostępnym portem 4307/TCP i ustalenie wersji | Lista celów |
2. Uruchomienie skryptu | T+kilkadziesiąt minut | Przesłanie złośliwego skryptu przez funkcję serwera bez logowania (CVE-2026-72529) | Skrypt działa w piaskownicy |
3. Ucieczka z piaskownicy | T+minuty do godzin (atak o wysokiej złożoności, bywa potrzebnych kilka prób) | Wykorzystanie CVE-2026-72530 | Kod wykonywany na serwerze, w opisanym ataku z uprawnieniami SYSTEM |
4. Utrwalenie | T+godziny | Podmiana pliku strony na web shell, instalacja tylnych drzwi jako usług | Stały dostęp do serwera |
5. Rozszerzenie | T+1 do 7 dni | Dostęp do bazy TrueConf, zrzut haseł z pamięci, rozpoznanie sieci | Hasła i mapa infrastruktury |
6. Atak na użytkowników | T+dni do tygodni | Podmiana instalatora TrueConf Client na wersję z tylnymi drzwiami | Zainfekowane komputery uczestników konferencji |
Mogę Ci jakoś pomóc?
Serwer wideokonferencji komunikuje się z wieloma urządzeniami, więc ruch napastnika nie wygląda na nim podejrzanie. Przejęcie go daje nie tylko dostęp do jednej maszyny, ale też możliwość zainfekowania każdego, kto pobiera z niego aplikację. Sama aktualizacja nie usuwa skutków, jeśli atak nastąpił wcześniej.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie serwera konferencji do czasu sprawdzenia, odtwarzanie zainfekowanych komputerów | Dni | 30 tys. do 250 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Dostęp do bazy konferencji, haseł i danych z sieci, szpiegowanie | Godziny do tygodni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, wymiany haseł, sprawdzenia wszystkich komputerów z aplikacją | Tygodnie | 80 tys. do 700 tys. PLN łącznie |
Reputacyjny | Zainfekowani kontrahenci, którzy pobrali aplikację z serwera firmy | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z TrueConf Server bez poprawki
i portem 4307/TCP dostępnym z internetu
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo napastnik przejmuje serwer i może zainfekować jego użytkowników, a prawdopodobieństwo wysokie, ale nie maksymalne, bo atak ma wysoką złożoność i według CISA nie da się go w pełni zautomatyzować; serwer z portem 4307/TCP dostępnym tylko w sieci wewnętrznej ma wyraźnie niższe prawdopodobieństwo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić pełny numer kompilacji TrueConf Server i czy port 4307/TCP jest dostępny z internetu | Dziś | Administrator systemów |
2 | 🔴 NATYCHMIAST | Zablokować port 4307/TCP od strony internetu, jeśli nie jest niezbędny | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować serwer do 5.3.9, 5.4.9 lub 5.5.5 z kompilacją z tabeli w sekcji 1 lub nowszą | Dziś | Administrator systemów / partner IT |
4 | 🟠 PILNIE | Sprawdzić serwer pod kątem wskaźników włamania z raportu Kaspersky: podmieniony plik public\js\locale.php, nowe usługi, nieznane zadania i połączenia wychodzące | Do 3 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Porównać instalator TrueConf Client na serwerze z oryginałem od producenta | Do 3 dni | Administrator systemów |
6 | 🟠 PILNIE | Przy wykryciu śladów włamania zmienić hasła wszystkich kont, których dane mogły być na serwerze | Do 3 dni | Administrator systemów |
7 | 🟡 WAŻNIE | Przenieść serwer wideokonferencji do osobnej podsieci, bez dostępu do systemów magazynowych i księgowych | Do 30 dni | CTO |
Producent wydał poprawki 18 czerwca 2026 roku dla gałęzi 5.3, 5.4 i 5.5; starsze wersje wymagają przejścia na jedną z nich. Do czasu aktualizacji pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie portu 4307/TCP od strony internetu | Wysoka wobec ataków z zewnątrz, nie chroni przed napastnikiem w sieci | Łatwa, ale może wymagać sprawdzenia połączeń zewnętrznych uczestników |
Dostęp do portu 4307/TCP tylko z określonych adresów lub przez VPN | Wysoka | Średnia |
Skan antywirusowy z aktualnymi bazami i sprawdzenie wskaźników włamania (zalecenie Kaspersky ICS CERT) | Średnia: wykrywa skutki, nie zamyka luki | Średnia |
Osobna podsieć dla serwera wideokonferencji | Średnia: ogranicza skutki przejęcia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja TrueConf Server | Bez poprawki z czerwca 2026 | Kompilacja z poprawką |
Port 4307/TCP | Otwarty z internetu (domyślnie) | Dostępny tylko dla uprawnionych |
Instalator TrueConf Client | Niesprawdzony | Porównany z oryginałem producenta |
Ślady włamania | Nieznane | Sprawdzone według wskaźników z raportu |
Zgodność z terminem CISA | Zaległość od 3 września 2026 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Kaspersky wykrył atak w lipcu 2026 roku |
Grupy przestępcze | Head Mare, którą Kaspersky klasyfikuje obecnie jako grupę APT; użyte narzędzia: PhantomCore i PhantomGraph |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown). Kaspersky zaznacza brak działań niszczących, takich jak szyfrowanie, w atakowanych sieciach |
Ocena CVSS | 9.5 KRYTYCZNA (CVSS 4.0, Kaspersky); 9.0 KRYTYCZNA (CVSS 3.1, Kaspersky i producent) |
PoC dostępny publicznie? | Brak publicznych informacji o opublikowanym kodzie ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Bliźniacza luka | CVE-2026-72529 (brak uwierzytelnienia, CVSS 3.1: 9.8), dodana do KEV tego samego dnia z terminem 23 sierpnia 2026; te same wersje z poprawką zamykają obie |
Wymagane działanie CISA | Poprawki zgodnie z zaleceniami producenta oraz wytyczne BOD 26-04, w tym wymagania dotyczące analizy śladów włamania |
Dlaczego luka o wyższej ocenie CVSS 4.0 dostała dłuższy termin niż bliźniacza? CISA uznała, że tej nie da się w pełni zautomatyzować, więc nie spodziewa się masowego skanowania internetu:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2026-72530
CVSS 4.0 (Kaspersky) 9.5/10 ███████████████████░ KRYTYCZNA
CVSS 3.1 (producent) 9.0/10 ██████████████████░░ KRYTYCZNA
Automatyzacja (CISA) NIE ░░░░░░░░░░░░░░░░░░░░ ataki ukierunkowane
Grupa APT (Kaspersky) TAK ████████████████████ Head Mare
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-06-18 TrueConf wydaje wersje 5.3.9, 5.4.9 i 5.5.5 z poprawkami
2026-07 Kaspersky wykrywa atak grupy Head Mare na serwer TrueConf
2026-08-11 Kaspersky ICS CERT i Securelist publikują poradę i raport
2026-08-19 Publikacja CVE-2026-72530 w NVD
2026-08-20 CISA dodaje lukę (i bliźniaczą CVE-2026-72529) do katalogu KEV
2026-08-23 Termin CISA dla bliźniaczej luki CVE-2026-72529
2026-09-03 Termin naprawy wg CISA dla CVE-2026-72530
... 2 tygodnie od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta z wersjami: trueconf.com/blog/news/security-fixes-updates-and-advisories . Porada Kaspersky ICS CERT: ics-cert.kaspersky.com/advisories/2026/08/11/trueconf-server-breakout-from-isolated-environment . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-72530 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma utrzymuje własny serwer TrueConf | CTO | DZISIAJ |
2 | Uzyskać pełny numer kompilacji serwera i informację, czy port 4307/TCP jest dostępny z internetu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i ograniczenie dostępu do portu | CTO | DZISIAJ |
4 | Zlecić sprawdzenie serwera i instalatora klienta pod kątem śladów włamania | CTO | DO JUTRA |
5 | Przygotować komunikat do kontrahentów na wypadek wykrycia podmienionego instalatora | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i rozdzielenie sieci | CFO | DO JUTRA |
7 | Sprawdzić w polisie cyberubezpieczenia wymogi zgłaszania incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki pełny numer kompilacji ma nasz TrueConf Server i na jakim systemie działa? | [kompilacja] / [Windows / Linux] | 🔴 |
2 | Czy port 4307/TCP jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowano aktualizację z czerwca 2026 lub nowszą? | [data] | 🔴 |
4 | Czy sprawdzono serwer pod kątem wskaźników włamania z raportu Kaspersky? | TAK / NIE, [data] | 🟠 |
5 | Czy instalator TrueConf Client na serwerze zgadza się z oryginałem producenta? | TAK / NIE | 🟠 |
6 | Czy serwer wideokonferencji ma dostęp do innych systemów firmy? | TAK / NIE, [jakich] | 🟡 |
7 | Czy mamy logi połączeń wychodzących z serwera sprzed aktualizacji? | TAK / NIE, [od kiedy] | 🟡 |
CVE-2026-72530 pozwala wyjść z piaskownicy TrueConf Server i wykonać dowolny kod na serwerze, a w połączeniu z bliźniaczą luką była używana przez grupę Head Mare do podmiany instalatorów aplikacji klienckiej. Poprawki istnieją od 18 czerwca 2026 roku, a termin CISA minął 3 września 2026 roku, więc aktualizacja, ograniczenie portu 4307/TCP i sprawdzenie serwera pod kątem włamania to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.