最近の脆弱性 › CVE-2026-72529

TrueConf Server の認証の欠如の脆弱性（CVE-2026-72529）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2026-72529
製品	TrueConf Server
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2026-08-20
米国政府機関の対応期限	2026-08-23
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-306

何が起きた

ビデオ会議のサーバー TrueConf Server に、大事な機能で認証を確かめていない弱点が見つかり、実際に悪用が確認されています。4307/TCP の通信口に接続できる攻撃者が、説明書に載っていない機能を呼び出すと、任意のスクリプトを実行されるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が悪用できる条件です。この CVE の番号を付けた Kaspersky の調査によると、攻撃者はこの弱点でスクリプトを実行させたうえで、同じ製品の CVE-2026-72530 で隔離された環境を抜け出していました。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

TrueConf Server（Windows 版と Linux 版）の、5.3 より前のすべてと、5.3.9・5.4.9・5.5.5 より前のバージョンが影響を受けます。修正版は 5.3.9・5.4.9・5.5.5 ですが、同じ番号でも古いビルドは対象です（例: 5.5.5 は Windows で 5.5.5.10010 以降、Linux で 5.5.5.10009 以降）。

何をすればいい

TrueConf の告知でビルド番号を確かめ、5.3.9・5.4.9・5.5.5 の修正済みのビルドへ更新してください。あわせて Kaspersky の案内どおり、最新の定義でウイルスのフルスキャンを行い、侵害の痕跡がないか確かめます。痕跡があれば、影響を受けたかもしれないアカウントのパスワードをすべて変えましょう。

やることチェックリスト

5.3.9か5.4.9か5.5.5の修正済みのビルドにする
ウイルスのフルスキャンと侵害の痕跡の確認をする
痕跡があればアカウントのパスワードを変える

用語メモ

スクリプト: 決まった手順を自動で行わせるための、短いプログラムのことです。

元データ（英語・CISA KEV より）

TrueConf Server Missing Authentication for Critical Function Vulnerability

概要

TrueConf Server contains a missing authentication for critical function vulnerability which could allow a remote unauthorized attacker with network access via port 4307/TCP to execute an arbitrary script.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.