CVE-2026-72529
TrueConf Server Missing Authentication for Critical Function Vulnerability
Beschreibung
CVE-2026-72529 ist eine kritische Schwachstelle durch fehlende Authentifizierung im TrueConf Server, der lokal betriebenen Videokonferenzplattform. Ein entfernter, nicht autorisierter Angreifer mit Netzwerkzugriff über Port 4307/TCP kann durch den Aufruf einer undokumentierten Funktion ein beliebiges Skript ausführen — Zugangsdaten sind nicht erforderlich, denn die Funktion führt überhaupt keine Authentifizierung durch. Betroffen sind TrueConf-Server-Versionen 5.3.x bis 5.3.9, 5.4.x bis 5.4.9, 5.5.x bis 5.5.5 und früher. Da sie unauthentifizierte Skriptausführung liefert, ist diese Schwachstelle der natürliche Einstiegspunkt zum Sandbox-Ausbruch CVE-2026-72530 auf demselben Port. CVE-2026-72529 hat einen CVSS-Wert von 9.8, steht im CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV), und Kaspersky hat die Ausnutzung von TrueConf Server durch die Gruppe Head Mare mit der Schadsoftware PhantomCore dokumentiert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| trueconf | trueconf server | < 5.3.9.10013; < 5.3.9.10015; >= 5.4.0.12689, < 5.4.9.10072; >= 5.4.0.12700, < 5.4.9.10019; >= 5.5.0.13826, < 5.5.5.10010; >= 5.5.0.13828, < 5.5.5.10009 |
Referenzen
- https://ics-cert.kaspersky.com/advisories/2026/08/11/trueconf-server-missing-authentication-for-critical-function/(Third Party Advisory)
- https://securelist.com/tr/head-mare-targets-trueconf-server-with-phantomcore/120988/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-72529(US Government Resource)
Schwachstellentyp
CWE-306: Fehlende Authentifizierung für kritische Funktion
Fehlende Authentifizierung für eine kritische Funktion bedeutet das vollständige Ausbleiben einer Identitätsprüfung vor Funktionalität, die eine solche erfordert — nicht schwache Authentifizierung, sondern gar keine. Bei CVE-2026-72529 stellt der TrueConf Server auf Port 4307/TCP eine undokumentierte Funktion bereit, die ein beliebiges Skript ausführt, und jeder nicht autorisierte entfernte Aufrufer, der sie zu nutzen weiß, wird bedient — die Funktion verlässt sich darauf, undokumentiert zu sein, statt auf eine Zugriffskontrolle.
Mehr erfahren: CWE-306 — Fehlende Authentifizierung für kritische Funktion
Auswirkungsanalyse
CVE-2026-72529 ist aus der Ferne über das Netzwerk ausnutzbar, mit geringer Angriffskomplexität, ohne Authentifizierung und ohne Benutzerinteraktion — einzige Voraussetzung ist das Erreichen von Port 4307/TCP, weshalb sie mit 9.8 bewertet ist, während der verwandte Sandbox-Ausbruch mit seiner spezifischen Technikanforderung niedriger liegt. Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils hoch betroffen: Beliebige Skriptausführung auf einem Konferenzserver legt Besprechungsdaten, Aufzeichnungen, Benutzerverzeichnisse und Serverkonfiguration offen, erlaubt deren Veränderung und ermöglicht die Abschaltung des Dienstes. Der Scope ist UNCHANGED, weil die Ausführung innerhalb der Skripting-Umgebung des Servers bleibt; die Kombination mit CVE-2026-72530, das aus dieser isolierten Umgebung auf den Host ausbricht, macht aus dem Paar eine vollständige Host-Kompromittierung. Genau diese Kette ist das Angreiferziel: Diese Schwachstelle liefert trivial einfachen unauthentifizierten Zugang zur Skriptausführung, die begleitende Schwachstelle beseitigt die Einhegung. Der EPSS-Wert von rund 1,6 % (74. Perzentil) spiegelt gezielte statt massenhafter Ausnutzung wider, doch entscheidend sind die KEV-Listung und die zugeschriebene Angreiferaktivität.
Exploit-Reifegrad
CVE-2026-72529 weist bestätigte, einem organisierten Bedrohungsakteur zugeschriebene Ausnutzung auf. Die CISA führt sie mit bereits verstrichener Behebungsfrist zum 23. August 2026 in ihrem Katalog bekannter ausgenutzter Schwachstellen, und Kasperskys Securelist hat Forschung veröffentlicht, die die Gruppe Head Mare beim Angriff auf TrueConf Server mit PhantomCore dokumentiert, gekennzeichnet als Exploit-Material; Kaspersky ICS-CERT hat ein entsprechendes Advisory herausgegeben. Der EPSS-Wert von etwa 1,6 % (74. Perzentil) ist moderat, weil EPSS breites internetweites Scanning abbildet und damit eine Kampagne unterschätzt, die eine bestimmte Gruppe gegen ausgewählte Opfer führt. Entscheidend ist die Verkettbarkeit: Diese Schwachstelle liefert mit minimalem Aufwand unauthentifizierte Skriptausführung, und CVE-2026-72530 bricht aus der Sandbox auf den Host aus — Verteidiger sollten annehmen, dass jede auf Port 4307 exponierte Instanz abgeklopft wurde, und das Paar als einen einzigen Notfall behandeln.
Behebung
- Die von der CISA geforderte Maßnahme sofort umsetzen. Mitigationen gemäß den Anweisungen von TrueConf anwenden, die BOD-26-04-Vorgaben der CISA („Prioritizing Security Updates Based on Risk") sowie die „Forensics Triage Requirements" einhalten und das Produkt außer Betrieb nehmen, falls keine Mitigationen verfügbar sind. Die KEV-Frist zum 23. August 2026 ist verstrichen.
- TrueConf Server auf einen korrigierten Build aktualisieren. Zu den gefixten Versionen zählen je nach eingesetzter Build-Linie 5.3.9.10013 und 5.3.9.10015, 5.4.9.10072 und 5.4.9.10019 sowie 5.5.5.10010 und 5.5.5.10009; das Kaspersky-ICS-CERT-Advisory zur fehlenden Authentifizierung einer kritischen Funktion im TrueConf Server dokumentiert Problem und betroffene Builds.
- Port 4307/TCP umgehend aus unvertrauenswürdigen Netzen sperren. Dies ist die wirksamste Eindämmung: Die Ausnutzung erfordert Netzwerkzugriff auf diesen Port, das Beschränken per Firewall auf vertrauenswürdige Management-Bereiche oder das Sperren aus dem Internet schließt sowohl diese Schwachstelle als auch den begleitenden Sandbox-Ausbruch CVE-2026-72530, solange das Patchen geplant wird.
- Von Kompromittierung ausgehen und nach PhantomCore suchen. Da eine bekannte Angreifergruppe beim Ausnutzen von TrueConf Server beobachtet wurde, ist jede Instanz, die ungepatcht auf Port 4307 erreichbar war, als Vorfall zu behandeln: Host auf unbekannte ausführbare Dateien, geplante Aufgaben, Dienste und ausgehende Verbindungen untersuchen, Serverlogs auf Verbindungen zu Port 4307 von unerwarteten Quellen prüfen und die Indikatoren aus Kasperskys Securelist-Analyse zu Head Mare und PhantomCore gegen TrueConf Server heranziehen.
- Zugangsdaten rotieren und langfristig härten. TrueConf-Administrationspasswörter zurücksetzen und Verzeichnis-, Datenbank- und Integrationszugangsdaten des Servers rotieren, anschließend die Konferenzinfrastruktur hinter ein VPN oder ein beschränktes VLAN stellen; als generelle Abwehr dieser Klasse jede Funktion identifizieren, die Code ausführt oder erhebliche Ressourcen verbraucht, und für jede explizit Authentifizierung verlangen — die Undokumentiertheit einer Funktion ist niemals ein Ersatz für eine Zugriffskontrolle.
Technische Details
CVE-2026-72529 ist eine fehlende Authentifizierung für eine kritische Funktion (CWE-306) im TrueConf Server. Der Server lauscht auf Port 4307/TCP und stellt dort eine undokumentierte Funktion bereit, die ein beliebiges Skript ausführt. Vor deren Ausführung findet keine Authentifizierung statt — ein entfernter, nicht autorisierter Angreifer, der den Port erreicht und die Funktion aufruft, erhält also unmittelbar Skriptausführung; der einzige Schutz war Verborgenheit, und die versagt, sobald die Existenz der Funktion bekannt ist. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H hält einen netzwerkseitig erreichbaren, wenig komplexen Angriff ohne Privilegien und Benutzerinteraktion fest, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit bei unverändertem Scope. Der Scope bleibt unverändert, weil das ausgeführte Skript innerhalb der isolierten Skripting-Umgebung des Servers läuft; CVE-2026-72530, zeitgleich veröffentlicht und über denselben Port erreichbar, liefert den Ausbruch aus dieser Isolation auf das Host-Betriebssystem — beide Schwachstellen sind komplementäre Hälften eines Angriffspfads.
Häufig gestellte Fragen
Wird CVE-2026-72529 aktiv ausgenutzt?
Ja, durch einen benannten Bedrohungsakteur. Die CISA hat CVE-2026-72529 mit einer inzwischen verstrichenen Behebungsfrist zum 23. August 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen, und Kaspersky hat dokumentiert, wie die Gruppe Head Mare TrueConf Server ausnutzt und PhantomCore ausrollt. Der moderate EPSS-Wert spiegelt gezielte statt opportunistische Ausnutzung wider.
Welche Produkte sind von CVE-2026-72529 betroffen?
Betroffen ist TrueConf Server in den Versionen 5.3.x bis 5.3.9, 5.4.x bis 5.4.9, 5.5.x bis 5.5.5 und früher. Zu den gefixten Builds zählen je nach eingesetzter Build-Linie 5.3.9.10013 und 5.3.9.10015, 5.4.9.10072 und 5.4.9.10019 sowie 5.5.5.10010 und 5.5.5.10009; die Exposition hängt daran, ob Port 4307/TCP erreichbar ist.
Wie behebe ich CVE-2026-72529?
Aktualisieren Sie TrueConf Server auf den korrigierten Build Ihrer Release-Linie und sperren Sie Port 4307/TCP umgehend aus unvertrauenswürdigen Netzen — diese eine Maßnahme entschärft zugleich den verwandten Sandbox-Ausbruch CVE-2026-72530. Untersuchen Sie anschließend den Host anhand der von Kaspersky veröffentlichten PhantomCore-Indikatoren und rotieren Sie Administrations-, Verzeichnis- und Integrationszugangsdaten.
Wie schwerwiegend ist CVE-2026-72529?
CVE-2026-72529 ist kritisch mit einem CVSS-3.1-Basiswert von 9.8. Sie ist unauthentifiziert und netzwerkseitig mit geringer Komplexität ohne Benutzerinteraktion ausnutzbar und gewährt beliebige Skriptausführung auf einem Konferenzserver mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit; verkettet mit CVE-2026-72530 führt sie zur Codeausführung auf dem Host selbst, und die bestätigte Ausnutzung durch eine organisierte Gruppe bei abgelaufener KEV-Frist macht sie zur Notfallpriorität.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.