Die beiden Schwachstellen greifen ineinander: CVE-2026-72529 erlaubt es einem Angreifer, eine undokumentierte Funktion aufzurufen und beliebige Skripte auszuführen. CVE-2026-72530 ermöglicht anschließend den Ausbruch aus der isolierten Umgebung und die Skriptausführung auf dem Host-System. Voraussetzung ist in beiden Fällen ein Fernzugriff auf den TrueConf-Server über Port 4307/TCP.
CISA nahm beide Einträge am Donnerstag in den KEV-Katalog auf. Die Fristen fallen unterschiedlich aus: drei Tage für CVE-2026-72529, zwei Wochen für CVE-2026-72530. Zur konkreten Ausnutzung machte die Behörde keine Angaben.
Diese Lücke füllt eine Analyse von Kaspersky. Demnach setzt die Hacktivistengruppe Head Mare die beiden Schwachstellen ein, um Systeme mit PhantomCore zu infizieren – Schadsoftware, die typischerweise mit Einbrüchen dieser Gruppe verbunden wird. Head Mare ist mindestens seit 2023 aktiv und richtet destruktive Angriffe gegen Organisationen in Russland und Belarus. Beobachtet wurde auch der Einsatz von Verschlüsselungs-Schadsoftware samt Lösegeldforderungen, doch finanziell motiviert scheint die Gruppe nach dieser Einschätzung nicht zu sein.
In den von Kaspersky untersuchten Fällen kompromittierten die Angreifer über CVE-2026-72529 und CVE-2026-72530 den TrueConf-Server einer Organisation und ersetzten eine der dortigen Dateien durch eine Web-Shell. „Diese Web-Shell wird später genutzt, um Informationen über die IT-Infrastruktur der angegriffenen Organisation zu sammeln, privilegierten Zugriff auf die Datenbank des TrueConf Server zu erlangen und die legitimen Client-Installationsprogramme zu ersetzen“, schreibt Kaspersky.
Auf dem Server hinterlegten die Täter manipulierte TrueConf-Client-Installationsprogramme. Führten Mitarbeiter diese aus, installierten sie PhantomCore auf deren Systemen. Zusätzlich brachten die Angreifer eine Backdoor auf den *nix-Servern unter, auf denen TrueConf lief, sowie eine weitere auf *nix-Systemen. Die erste nutzt für die Command-and-Control-Kommunikation das TrueConf-Protokoll, die zweite läuft über GitHub.
Betreibern eines TrueConf-Servers wird empfohlen, auf eine gepatchte Version zu aktualisieren, die eigene Umgebung auf Kompromittierungsindikatoren (IoCs) und schädliche Artefakte zu prüfen und bei festgestelltem Einbruch die Zugangsdaten aller möglicherweise betroffenen Konten zu wechseln.