Агентство з кібербезпеки та безпеки інфраструктури США (CISA) наказало федеральним установам США пріоритезувати виправлення двох вразливостей у платформі TrueConf Server, яка використовується для самостійного розміщення комунікаційних рішень. Ці вразливості активно експлуатуються зловмисниками.
TrueConf Server призначений для безпечного корпоративного обміну повідомленнями та відеоконференцій. На відміну від хмарних програм, таких як Zoom або Microsoft Teams, він працює в локальній мережі (LAN) організації.
Найбільш серйозна з них – критична вразливість, пов’язана з відсутністю автентифікації (відстежується як CVE-2026-72529). Вона дозволяє зловмисникам без відповідних привілеїв дистанційно виконувати довільні скрипти на серверах, які не були оновлені.
“Віддалений неавтентифікований зловмисник, підключений до TrueConf Server через порт 4307/TCP, може викликати недокументовану критичну функцію та виконати довільний скрипт на сервері”, – пояснює команда безпеки TrueConf.
Друга вразливість також має критичний рівень серйозності (CVE-2026-72530). Зловмисники без автентифікації можуть експлуатувати її за допомогою складних атак з ін’єкцією коду для досягнення виконання коду віддалено.
“Неналежне керування генерацією коду може дозволити зловмиснику, який досяг виконання коду в ізольованому середовищі TrueConf Server, вийти з пісочниці та виконати довільні команди в базовій операційній системі”, – додають у TrueConf.
У четвер CISA додала ці дві вразливості до свого каталогу KEV (Known Exploited Vulnerabilities) та наказала установам Федеральної цивільної виконавчої гілки влади США (FCEB) забезпечити безпеку своїх серверів протягом двох тижнів, до 3 вересня.
“Цей тип вразливостей є поширеним вектором атаки для зловмисних кіберсуб’єктів і становить значні ризики для федеральних установ”, – попереджає агентство з кібербезпеки.
Хоча CISA не надала деталей щодо цих атак, компанія Kaspersky повідомила, що хакерське угруповання Head Mare використовує CVE-2026-72529 та CVE-2026-72530 щонайменше з липня 2026 року. Вони замінюють інсталятори клієнтів на шкідливі версії, розроблені для розгортання бекдор-шкідливого програмного забезпечення.
За даними Kaspersky, кампанії Head Mare були спрямовані на російські організації в різних галузях, включно з транспортом, енергетикою, ІТ, електронікою та розробкою програмного забезпечення.
У квітні 2026 року Check Point Research також повідомила, що хакери націлені на іншу вразливість TrueConf (CVE-2026-3502) через атаки нульового дня під назвою “Operation True Chaos”. Ці атаки були пов’язані з китайськими зловмисниками, які компрометували користувачів за допомогою троянізованих оновлень клієнтів.
Загальні показники запобігання можуть приховувати те, що відбувається після початкового доступу. Після того, як зловмисники використовують дійсні облікові дані, рівень захисту різко знижується.
The Blue Report 2026 оцінює методи захисту за окремими техніками на основі 338 мільйонів симуляцій, проведених у реальних виробничих середовищах клієнтів.
Критична вразливість RCE у Windows IKE Extension активно експлуатується
CISA попереджає про експлуатацію критичної вразливості MLflow хакерами
CISA: Вразливість Windows Task Host експлуатується бандами програм-вимагачів
CISA: Вразливість Microsoft SharePoint експлуатується в атаках програм-вимагачів
Критична вразливість Progress LoadMaster активно експлуатується в атаках
Дізнатися більше на: www.bleepingcomputer.com