Die CISA hat zwei kritische Sicherheitslücken in TrueConf Server in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Für die zivilen US-Bundesbehörden gilt damit eine Frist von zwei Wochen: Bis zum 3. September müssen die betroffenen Server abgesichert sein. Zur Begründung verwies die Behörde darauf, dass dieser Schwachstellentyp ein häufiger Angriffsvektor für böswillige Akteure sei und erhebliche Risiken für die Bundesverwaltung berge.

TrueConf Server ist eine Plattform für abgesicherte Unternehmenskommunikation mit Chat- und Videokonferenzfunktionen. Im Unterschied zu cloudbasierten Angeboten wie Zoom oder Microsoft Teams wird die Software im lokalen Netzwerk der jeweiligen Organisation betrieben.

Die schwerwiegendere der beiden Lücken ist CVE-2026-72529, eine fehlende Authentifizierungsprüfung. Nach Darstellung des TrueConf-Sicherheitsteams kann ein nicht authentifizierter Angreifer, der sich über den TCP-Port 4307 mit dem Server verbindet, eine undokumentierte kritische Funktion aufrufen und ein beliebiges Skript auf dem Server ausführen.

Die zweite Schwachstelle, CVE-2026-72530, ist ebenfalls als kritisch eingestuft und lässt sich unauthentifiziert über Code-Injection-Angriffe mit hoher Komplexität zur Ausführung von Schadcode nutzen. TrueConf beschreibt sie als unsachgemäße Handhabung der Codegenerierung: Ein Angreifer, der bereits Codeausführung in der isolierten Umgebung von TrueConf Server erreicht hat, könne aus der Sandbox ausbrechen und beliebige Befehle auf dem darunterliegenden Betriebssystem ausführen.

Zu den konkreten Angriffen äußerte sich CISA nicht. Das Sicherheitsunternehmen Kaspersky berichtet jedoch, dass die Hacktivistengruppe Head Mare beide Lücken seit mindestens Juli 2026 ausnutzt. Die Angreifer ersetzten dabei Client-Installationsprogramme durch manipulierte Varianten, die eine Backdoor auf den Rechnern der Nutzer einrichten sollen. Laut Kaspersky richteten sich mehrere Head-Mare-Kampagnen gegen russische Organisationen aus unterschiedlichen Branchen, darunter Transportwesen, Energiewirtschaft, IT, Elektronik und Softwareentwicklung.

Es ist nicht der erste Angriff dieser Art auf die Plattform: Check Point Research hatte im April 2026 über Zero-Day-Angriffe auf eine weitere TrueConf-Schwachstelle (CVE-2026-3502) berichtet. Die als “Operation True Chaos” bezeichnete Kampagne wurde chinesischen Bedrohungsakteuren zugeordnet; auch hier wurden Nutzer über trojanisierte Client-Updates kompromittiert.