ביולי 2026 בדקו חוקרי קספרסקי שרת TrueConf פרוץ, ומצאו עליו את קובץ ההתקנה של תוכנת הלקוח מוחלף בגרסה עם דלת אחורית. מי שהוריד אותו כדי להצטרף לישיבה קיבל איתו את PhantomCore. הדרך פנימה הייתה שתי חולשות ששורשרו זו לזו, CVE-2026-72529 ו-CVE-2026-72530, ששתיהן נוספו השבוע לרשימת ה-KEV של CISA.

סקירה כללית

TrueConf Server הוא שרת שיחות ועידה שארגונים מתקינים אצלם. לפי תיעוד היצרן, יציאה 4307 ב-TCP פתוחה בו כברירת מחדל, ולא דרכה משתמשים מצטרפים לשיחה.

החולשה הראשונה היא פונקציה שאינה מופיעה בתיעוד, שאפשר לקרוא לה בלי הזדהות ולשלוח דרכה סקריפט להרצה. הסקריפט אמור לרוץ בסביבה תחומה שאין ממנה גישה למערכת ההפעלה, ארגז חול, שגם קוד זדוני נשאר כלוא בו. החולשה השנייה היא הכשל של הגבול הזה: סקריפט שנבנה במיוחד יוצא מארגז החול ומגיע להרצת קוד על המכונה. בצירוף, לפי קספרסקי, התוקפים הגיעו להרשאות NT AUTHORITY\SYSTEM.

מזהה: CVE-2026-72529 (עקיפת אימות) ו-CVE-2026-72530 (יציאה מהבידוד)
סוג: היעדר אימות לפונקציה קריטית (CWE-306) והזרקת קוד (CWE-94)
מוצר: TrueConf Server ל-Windows ול-Linux
גרסאות מושפעות: כל מה שלפני 5.3, וכן 5.3.X שלפני 5.3.9, 5.4.X שלפני 5.4.9 ו-5.5.X שלפני 5.5.5
גרסה מתוקנת: 5.3.9, 5.4.9 או 5.5.5
ניצול בפועל: כן, שתיהן ברשימת ה-KEV של CISA מאז 20 באוגוסט 2026

ציר זמן

18 ביוני 2026: TrueConf משחררת את הגרסאות המתקנות 5.3.9, 5.4.9 ו-5.5.5.
יולי 2026: קספרסקי מזהה מתקפה של Head Mare על שרת TrueConf שלא עודכן.
11 באוגוסט 2026: קספרסקי מפרסמת את הייעוץ הטכני וניתוח הקמפיין.
19 באוגוסט 2026: שתי החולשות מתפרסמות ב-NVD, ולמחרת CISA מוסיפה אותן לרשימת ה-KEV.

איך הניצול עובד

התוקף פותח חיבור ליציאה 4307 בלי להזדהות, קורא לפונקציה הלא מתועדת ומעביר דרכה סקריפט. עד כאן הוא עדיין בארגז החול. משם הוא מנצל את חולשת הזרקת הקוד כדי לשבור את הגבול ולהריץ פקודות בהקשר של מערכת ההפעלה. מה שקרה אחר כך, לפי קספרסקי: locale.php הוחלף ב-web shell לשליטה מרחוק, התוקפים אספו מידע על התשתית ועל מסד הנתונים, ולבסוף החליפו את חבילת ההתקנה של הלקוח בגרסה נגועה בלי חתימה דיגיטלית תקינה.

ניתוח ציון ה-CVSS

ציון CVSS: 9.8

זה הציון שקיבלה עקיפת האימות לפי CVSS 3.1, והוא הגבוה מבין השניים דווקא משום שהיא הקלה יותר: בלי אימות, ברשת, ובניסיון הראשון. היציאה מארגז החול, המסוכנת יותר, קיבלה 9.0 באותה גרסה, כי לפי קספרסקי היא עלולה לדרוש כמה ניסיונות. בגרסה 4.0 של התקן הסדר מתהפך, 9.3 מול 9.5, כי היא סופרת בנפרד פגיעה במערכת שמעבר לרכיב הפגיע. בדיוק מה שקורה כשהקוד בורח אל מערכת ההפעלה.

איפה למצוא Proof of Concept (PoC)

בדקנו ולא נמצא PoC פומבי לאף אחת מהשתיים. הניתוח הזמין הוא הדוח של Securelist על הקמפיין, שמפרט את שלבי הניצול ואת סימני הפריצה, ולצידו הייעוץ של Kaspersky ICS CERT.

ומי שאין לו TrueConf בכלל לא בהכרח מחוץ לסיפור: לפי קספרסקי, עובדים מורידים את תוכנת הלקוח מהשרת של הצד השני בישיבה, כך שגם ארגון בלי שרת משלו עלול לקבל התקנה נגועה משותף עסקי.