情報取得日: 2026/08/19／最終確認: 2026/08/22・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-72529 |
|---|---|
| 製品 | TrueConf / TrueConf Server 5.3.X〜5.3.9 / 5.4.X〜5.4.9 / 5.5.X〜5.5.5 およびそれ以前（Windows / Linux 両対応） |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-306 重要な機能に対する認証の欠如 |
| 登録／公開日 | 2026/08/19 |
| KEV 期限 | 2026/08/23 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および Forensics Triage Requirements に従うこと。緩和策が無い場合はクラウドサービス向けの BOD 26-04 ガイダンスに従うか、製品の利用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-72529 |
ビデオ会議サーバ TrueConf Server の 4307/TCP に、重要な機能を認証なしで呼べる欠陥がある。NVD の記述によれば、4307/TCP へネットワーク到達できる未認証の攻撃者が、文書化されていない関数を呼び出すことで任意のスクリプトを実行できる。CWE は CWE-306（重要な機能に対する認証の欠如）で、CVSS 3.1 は 9.8 Critical、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H である。攻撃条件が低（AC:L）で認証も利用者操作も不要という、前提のほとんど無い形をしている。影響を受けるのは 5.3.X から 5.3.9、5.4.X から 5.4.9、5.5.X から 5.5.5 までとそれ以前で、Windows 版・Linux 版の双方が対象である。修正版はビルド番号まで見ないと判定できず、Windows 版は 5.3.9.10013 / 5.4.9.10072 / 5.5.5.10010 以降、Linux 版は 5.3.9.10015 / 5.4.9.10019 / 5.5.5.10009 以降である。CISA は 2026-08-20 に KEV へ収載し、是正期限を 2026-08-23 とした。同じ 4307/TCP を入口とする CVE-2026-72530（隔離環境からの脱出を伴うコードインジェクション）と対になっており、KEV には同時に載っている。ただし本件のほうが是正期限が短く（08-23 対 09-03）、CVSS も高い。採番元は Kaspersky Labs で、同社 Securelist は Head Mare と呼ばれる攻撃者グループが TrueConf Server を標的に PhantomCore を展開した事例を公表している。悪用は理論上のものではない。ランサムウェアキャンペーンでの使用は KEV 上「不明」として扱われている。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 情報確認中 |
EC2 上の TrueConf Server を、系列と OS に対応した修正ビルド（Linux なら 5.3.9.10015 / 5.4.9.10019 / 5.5.5.10009 以降）へ更新する。CVE-2026-72530 と同じ更新で両方が閉じる。
AWS 側に修正対象は無い。セキュリティグループで 4307/TCP の到達範囲を絞る措置は更新までの時間稼ぎとして有効だが、恒久対策ではない。KEV 是正期限は 2026-08-23 で、対になる CVE-2026-72530 より11日早い。
参照リンク
|
| GCP | 情報確認中 |
同上。GCE 上の TrueConf Server を修正ビルドへ更新する。
GCP 側に修正対象は無い。VPC ファイアウォールで 4307/TCP を管理セグメントに限定する措置を併用する。
参照リンク
|
| Azure | 情報確認中 |
同上。Azure VM 上の TrueConf Server を、Windows 版なら 5.3.9.10013 / 5.4.9.10072 / 5.5.5.10010 以降へ更新する。
Azure 側に修正対象は無い。NSG で 4307/TCP の到達範囲を絞る。Windows 版と Linux 版で修正ビルド番号が異なる点に注意する。
参照リンク
|
| Linux | 情報確認中 |
ベンダー配布の修正ビルド（5.3.9.10015 / 5.4.9.10019 / 5.5.5.10009 以降）へ更新する。ディストリのセキュリティ更新では上がらない。
TrueConf Server はディストリの公式リポジトリではなくベンダー配布パッケージで導入するため、Debian/Ubuntu/RHEL のセキュリティトラッカーには本件のエントリが立たない。トラッカーに出ていないことを未影響の根拠にしないこと。
参照リンク
|
対応は CVE-2026-72530 と同じ更新で同時に解消する。両者は同じ 4307/TCP を入口とし、修正ビルドも共通だからである。したがって実務上は2件を別々に追う必要はなく、TrueConf Server を系列と OS に対応した修正ビルドへ上げれば両方が閉じる。ただし期限は分けて管理すること。本件の KEV 是正期限は 2026-08-23 で、CVE-2026-72530 の 2026-09-03 より11日早い。2件を一緒くたにして遅いほうの期限で計画すると、本件だけ期限超過になる。手順は3段である。第一にバージョン確認。修正版は系列ごと・OS ごとにビルド番号で分かれており、画面表示の 5.5.5 だけでは判定できない。Windows なら 5.5.5.10010 以降か、Linux なら 5.5.5.10009 以降かまで見る。第二に更新。ベンダーが系列を維持したまま修正ビルドを出しているので、大きな移行を伴わずに当てられる可能性が高い。第三に経路の見直し。本件の前提は 4307/TCP へのネットワーク到達である。この番号は会議クライアントの接続に使うものではないため、インターネットから到達させる必要がある構成は多くない。更新までの時間を稼ぐ緩和として、4307/TCP を管理セグメントからのみ到達可能にする措置が現実的である。これはベンダーが公式の workaround として提示したものではなく、脆弱性の前提条件から導かれる措置である点に注意する。加えて、悪用事例が公表されている以上、更新して終わりにしないこと。更新前の期間について、TrueConf Server のプロセスから起動された想定外の子プロセス、4307/TCP への外部からの接続記録、サーバ上の新規の実行ファイルを確認する。完了条件は、（1）全 TrueConf Server が系列と OS に対応した修正ビルド以降であること、（2）4307/TCP の到達範囲をネットワーク側で確認済みであること、（3）更新前の期間についてホスト上の痕跡確認を実施済みであることの3点である。
Critical（CVSS 9.8）に分類されるTrueConf TrueConf Server 5.3.X〜5.3.9 / 5.4.X〜5.4.9 / 5.5.X〜5.5.5 およびそれ以前（Windows / Linux 両対応）の脆弱性です。ビデオ会議サーバ TrueConf Server の 4307/TCP に、重要な機能を認証なしで呼べる欠陥がある。NVD の記述によれば、4307/TCP へネットワーク到達できる未認証の攻撃者が、文書化されていない関数を呼び出すことで任意のスクリプトを実行できる。CWE は CWE-306（重要な機能に対する認証の欠如）で、CVSS 3.1 は 9.8 Critical、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H である。攻撃条件が低（AC:L）で認証も利用者操作も不要という、前提のほとんど無い形をしている。影響を受けるのは 5.3.X から 5.3.9、5.4.X から 5.4.9、5.5.X から 5.5.5 までとそれ以前で、Windows 版・Linux 版の双方が対象である。修正版はビルド番号まで見ないと判定できず、Windows 版は 5.3.9.10013 / 5.4.9.10072 / 5.5.5.10010 以降、Linux 版は 5.3.9.10015 / 5.4.9.10019 / 5.5.5.10009 以降である。CISA は 2026-08-20 に KEV へ収載し、是正期限を 2026-08-23 とした。同じ 4307/TCP を入口とする CVE-2026-72530（隔離環境からの脱出を伴うコードインジェクション）と対になっており、KEV には同時に載っている。ただし本件のほうが是正期限が短く（08-23 対 09-03）、CVSS も高い。採番元は Kaspersky Labs で、同社 Securelist は Head Mare と呼ばれる攻撃者グループが TrueConf Server を標的に PhantomCore を展開した事例を公表している。悪用は理論上のものではない。ランサムウェアキャンペーンでの使用は KEV 上「不明」として扱われている。
対応は CVE-2026-72530 と同じ更新で同時に解消する。両者は同じ 4307/TCP を入口とし、修正ビルドも共通だからである。したがって実務上は2件を別々に追う必要はなく、TrueConf Server を系列と OS に対応した修正ビルドへ上げれば両方が閉じる。ただし期限は分けて管理すること。本件の KEV 是正期限は 2026-08-23 で、CVE-2026-72530 の 2026-09-03 より11日早い。2件を一緒くたにして遅いほうの期限で計画すると、本件だけ期限超過になる。手順は3段である。第一にバージョン確認。修正版は系列ごと・OS ごとにビルド番号で分かれており、画面表示の 5.5.5 だけでは判定できない。Windows なら 5.5.5.10010 以降か、Linux なら 5.5.5.10009 以降かまで見る。第二に更新。ベンダーが系列を維持したまま修正ビルドを出しているので、大きな移行を伴わずに当てられる可能性が高い。第三に経路の見直し。本件の前提は 4307/TCP へのネットワーク到達である。この番号は会議クライアントの接続に使うものではないため、インターネットから到達させる必要がある構成は多くない。更新までの時間を稼ぐ緩和として、4307/TCP を管理セグメントからのみ到達可能にする措置が現実的である。これはベンダーが公式の workaround として提示したものではなく、脆弱性の前提条件から導かれる措置である点に注意する。加えて、悪用事例が公表されている以上、更新して終わりにしないこと。更新前の期間について、TrueConf Server のプロセスから起動された想定外の子プロセス、4307/TCP への外部からの接続記録、サーバ上の新規の実行ファイルを確認する。完了条件は、（1）全 TrueConf Server が系列と OS に対応した修正ビルド以降であること、（2）4307/TCP の到達範囲をネットワーク側で確認済みであること、（3）更新前の期間についてホスト上の痕跡確認を実施済みであることの3点である。
TrueConf TrueConf Server 5.3.X〜5.3.9 / 5.4.X〜5.4.9 / 5.5.X〜5.5.5 およびそれ以前（Windows / Linux 両対応） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-72529）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/23 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および Forensics Triage Requirements に従うこと。緩和策が無い場合はクラウドサービス向けの BOD 26-04 ガイダンスに従うか、製品の利用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/22）。