TrueConf Server の 4307/TCP でコードインジェクション（隔離環境を脱してホストで任意コード実行・KEV 収載）

Critical（CVSS 9.0）に分類されるTrueConf TrueConf Server 5.3.X〜5.3.9 / 5.4.X〜5.4.9 / 5.5.X〜5.5.5 およびそれ以前（Windows / Linux 両対応）の脆弱性です。ビデオ会議サーバ TrueConf Server に、隔離環境からの脱出を伴うコードインジェクションがある。NVD の記述によれば、4307/TCP を通じてネットワーク到達できる未認証の攻撃者が、細工したスクリプトを用いて隔離された実行環境を脱し、ホストシステム上で任意コードを実行できる。CWE は CWE-94。採番元（CNA）は Kaspersky Labs で、CVSS 4.0 で 9.5 Critical、CVSS 3.1 で 9.0 Critical を付けている。NIST 独自の評価は本稿の確認時点（2026-08-22）では付いていない。影響を受けるのは 5.3.X から 5.3.9、5.4.X から 5.4.9、5.5.X から 5.5.5 までとそれ以前で、修正版は系列と OS ごとに分かれている。Windows 版は 5.3.9.10013 / 5.4.9.10072 / 5.5.5.10010 以降、Linux 版は 5.3.9.10015 / 5.4.9.10019 / 5.5.5.10009 以降である。3桁目までが同じでもビルド番号が異なると修正が入っていないため、バージョンの確認はビルド番号まで見る必要がある。この点が本件の実務上いちばん間違えやすいところである。CISA は 2026-08-20 に KEV へ収載し、是正期限を 2026-09-03 とした。悪用は理論上のものではない。Kaspersky の Securelist は、Head Mare と呼ばれる攻撃者グループが TrueConf Server を標的に PhantomCore を展開した事例を公表しており、NVD はこの記事を Exploit の参照として登録している。ランサムウェアキャンペーンでの使用は KEV 上「不明」として扱われている。

対応は、（1）ビルド番号まで含めたバージョン確認、（2）系列と OS に対応した修正版への更新、（3）4307/TCP の到達範囲の見直し、の3段である。まずバージョン確認から入る。前述のとおり修正版は系列ごと・OS ごとに異なり、しかもビルド番号で分かれている。5.5.5 という表示だけでは判定できず、Windows なら 5.5.5.10010 以降か、Linux なら 5.5.5.10009 以降かまで見る。運用中の台帳にビルド番号を記録していない組織は、この機会に記録の粒度を上げておくとよい。次に更新である。ベンダーがバージョン系列を維持したまま修正ビルドを出しているので、大きな移行を伴わずに当てられる可能性が高い。ただし 5.3.X 系のように古い系列を使い続けている場合は、まず自分の系列に修正ビルドが出ているかを確認すること。三つ目が経路である。本件の前提は 4307/TCP へのネットワーク到達である。この番号はビデオ会議のクライアント接続に使うものではないので、インターネットから到達させる必要がある構成は多くない。更新までの時間を稼ぐ緩和として、4307/TCP を管理セグメントからのみ到達可能にする措置が現実的である。ただしこれはベンダーが公式の workaround として提示したものではなく、脆弱性の前提条件から導かれる措置である。恒久対策は更新であり、経路の絞り込みはその前の時間稼ぎとして扱う。最後に、既に悪用事例が公表されている点を対応の重みに反映させる。Head Mare による PhantomCore 展開の報告があるということは、更新前の期間に既に侵入されている可能性を検討する必要があるということである。単に更新して終わりにせず、更新前の期間について、TrueConf Server のプロセスから起動された想定外の子プロセス、4307/TCP への外部からの接続記録、サーバ上の新規の実行ファイルを確認すること。完了条件は、（1）全 TrueConf Server が系列と OS に対応した修正ビルド以降であること、（2）4307/TCP の到達範囲が意図した範囲に限られていることをネットワーク側で確認済みであること、（3）更新前の期間についてホスト上の痕跡確認を実施済みであることの3点である。

TrueConf TrueConf Server 5.3.X〜5.3.9 / 5.4.X〜5.4.9 / 5.5.X〜5.5.5 およびそれ以前（Windows / Linux 両対応） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-72530）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/03 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および Forensics Triage Requirements に従うこと。緩和策が無い場合はクラウドサービス向けの BOD 26-04 ガイダンスに従うか、製品の利用を停止すること。