ビデオ会議サーバー「TrueConf Server」の深刻な脆弱性2件が、実際の攻撃で悪用されています。米CISAは2026年8月20日、CVE-2026-72529（CVSS 9.8）とCVE-2026-72530（CVSS 9.0）を「悪用が確認された脆弱性カタログ（KEV）」に追加しました。いずれもTCP 4307番ポートに到達できれば認証なしで悪用可能で、修正版は5.3.9／5.4.9／5.5.5です。該当バージョンを社内で運用しているなら、今すぐ更新と侵害有無の確認をしてください。
そして本件で情シスが本当に見るべきは、CVE番号よりも「攻撃者が乗っ取ったサーバーで、社員に配るクライアントの正規インストーラを感染版に差し替えていた」という事実です。これは自社にTrueConfが無くても効いてくる話です。
この記事でわかること
- TrueConf Serverとは何者で、どこに潜んでいるか
- 2件の脆弱性の内容・影響バージョン・修正版
- 実際に観測された攻撃の流れ（インストーラのすり替え）
- 自社が該当するかを確認する具体的な方法
- TrueConfを使っていない組織が持ち帰るべき教訓
TrueConf Serverとは何をするものか
TrueConf Serverとは、自社のネットワーク内（オンプレミス）に設置して使うビデオ会議・チャットのサーバー製品です。ZoomやTeamsのようなクラウド型ではなく、サーバーを自前で立て、LANやVPNの内側だけで映像会議を完結させる点が特徴です。
導入されるのは、クラウドの会議サービスを使えない／使いたくない現場です。インターネット接続が制限された閉域網、外部にデータを出せない規程がある組織などが典型で、情シスがサーバーを構築し、Windows／macOS／Linux／iOS／Android向けのクライアントアプリを社内に配布して使わせます。ベンダーはヨーロッパ拠点のTrueConf社です。
そしてもう1点、「どこに組み込まれて動いているか」が重要です。TrueConf Serverは資産管理台帳に「ビデオ会議システム」としか書かれていないことが多く、それ自体がクライアントアプリの配布元（ダウンロードサーバー）を兼ねているという性質が見落とされがちです。今回の攻撃は、まさにその性質を突いています。なお国内の導入実績については、公開情報からは確認できませんでした。「うちには無い」と即断せず、後述の確認方法で実機ベースの棚卸しをおすすめします。
何が起きたのか
Kaspersky ICS CERTが2026年8月に公表した2件の脆弱性を、CISAが8月20日付でKEVカタログへ追加しました。CISAがKEVに載せるのは「実際に悪用されている証拠がある」場合に限られます。
| 項目 | CVE-2026-72529 | CVE-2026-72530 |
|---|---|---|
| 種別 | 重要な機能への認証欠如（CWE-306） | コードインジェクション（CWE-94） |
| CVSS v3.1 | 9.8（緊急） | 9.0（緊急） |
| 内容 | 4307/TCPに到達できる未認証の攻撃者が、文書化されていない機能を呼び出して任意のスクリプトを実行できる | 細工したスクリプトで隔離環境（サンドボックス）を脱出し、ホストOS上で任意コードを実行できる |
| KEV追加日 | 2026年8月20日 | |
| 米政府機関の対処期限 | 2026年8月23日 | 2026年9月3日 |
| 影響バージョン | 5.3系は5.3.9未満／5.4系は5.4.9未満／5.5系は5.5.5未満、および5.3より前のすべて | |
| 修正版 | 5.3.9／5.4.9／5.5.5 | |
2件は単独でも危険ですが、連鎖させると「未認証でサーバーを完全に乗っ取れる」という最悪の組み合わせになります。72529でスクリプトを流し込み、72530でサンドボックスを破ってOS権限を取る、という順番です。深刻度の読み方はCVSSとは？脆弱性の深刻度を評価する仕組みと使い方もあわせてご覧ください。
なお対処期限（8月23日／9月3日）は米国連邦政府機関に課された期限であり、日本の民間企業に法的拘束力はありません。ただしCISAが「これは今まさに使われている」と判断した優先度の目安としては、そのまま使えます。
攻撃者は何をしたのか：正規インストーラのすり替え
Kasperskyは2026年7月に、Head Mareと呼ばれる攻撃グループがこの2件を悪用した事例を検出したと報告しています。標的はロシアの計測機器・電子機器・輸送・エネルギー・IT・ソフトウェア開発などの組織とされています。攻撃の流れは次の通りです。
- 初期侵入：4307/TCPへ接続する。この番号は製品ドキュメント上「既定で開いている」ポートです。
- スクリプト実行：CVE-2026-72529で認証を回避し、任意スクリプトを実行。
- 権限奪取：CVE-2026-72530で隔離環境を脱出し、
NT AUTHORITY\SYSTEM権限でOSコマンドを実行。 - 居座り：Webシェルを
...\public\js\locale.phpに設置し、サーバー内部の偵察やデータベースアクセスに使用。 - 配布物のすり替え：TrueConf Clientの配布ファイルを、PhantomCoreというバックドア入りの感染版に置き換え。
- 追加のバックドア：
SysExcSvc.dllとSysReadSvc.dllの2モジュールからなるPhantomGraphをWindowsサービスとして登録。C2（指令サーバー）にはMicrosoft OneDriveが使われていました。
なぜインストーラのすり替えが効くのか？
社内の配布元は「疑わなくていい場所」として運用されているからです。社員は情シスが案内した社内サーバーからアプリを落とします。そこに置かれたファイルを疑う人はまずいません。外部サイトからの野良ダウンロードなら止められても、自社サーバー経由なら誰も止めない——攻撃者はその信頼関係ごと乗っ取ったわけです。手口の分類としてはサプライチェーン攻撃とは？仕組みと種類をわかりやすく解説で扱った「配布経路の汚染」に当たります。
さらに気になるのが、TrueConf Clientについては2026年4月2日にCVE-2026-3502が既にKEVへ追加済みだという点です。これは「更新ファイルを検証せずにダウンロード・インストールしてしまう（CWE-494：完全性チェックのないコードのダウンロード）」という欠陥でした。サーバー側が乗っ取られる欠陥と、クライアント側が更新物を検証しない欠陥。この2つが揃うと、感染版は誰にも咎められないまま社内へ配られます。
自社は影響を受けるか（確認方法）
推測ではなく、次の順で機械的に確認してください。
- サーバーの存在確認：社内で
4307/TCPを待ち受けているホストが無いかスキャンする。TrueConf Serverの既定ポートであり、台帳に載っていない“忘れられたサーバー”を炙り出せます。 - バージョン確認：TrueConf Serverの管理画面（Web UI）でバージョンを確認し、5.3.9／5.4.9／5.5.5以上かを見る。未満なら該当します。
- 公開状況の確認：4307/TCPがインターネットから到達可能になっていないか。外部公開されているなら最優先で塞いでください。
- 侵害痕跡の確認：Webシェル
public\js\locale.phpの有無、SysExcSvc.dll／SysReadSvc.dllという名前のWindowsサービスの登録、身に覚えのないPowerShell実行ログ。詳細なIoC（ハッシュ値・IPアドレス・レジストリキー）はKaspersky Securelistの記事に掲載されています。 - 配布ファイルの検証：社内に配布したTrueConf Clientのインストーラに正規のデジタル署名が付いているかを確認する。すり替えを見抜く最後の砦です。
更新しただけで終わらせないでください。悪用が確認された脆弱性は「パッチを当てる前にやられている」可能性が常にあります。更新後の侵害調査までがワンセットです。この考え方はSharePoint認証バイパスが悪用中 7月更新の確認をやMLflow脆弱性が悪用中、クラウド認証情報が標的でも繰り返し書いてきた通りです。
現場目線の課題
正直なところ、この手の製品がいちばん厄介です。ビデオ会議サーバーは「動いていれば誰も文句を言わない」種類のシステムで、導入時に構築した担当者が異動した後、そのまま静かに動き続けます。OSやブラウザのように月次で更新通知が来るわけでもなく、脆弱性が出たことに気づく導線がそもそも無い。今回のように海外ベンダーの製品で、日本語の一次情報が出てこない場合はなおさらです。
そして「クライアント配布サーバーの棚卸し」は、たいていの組織で誰の担当でもありません。共有フォルダや社内ポータルの「ソフトウェアダウンロード」ページに置かれた実行ファイルが正しいものかを、定期的に検証している組織はそう多くないはずです。台帳に載っているのはサーバーの用途であって、「そのサーバーが何を配っているか」ではないのです。端末の細部まで目が届かないもどかしさは、限られた人員で回している情シスなら誰しも身に覚えがあるでしょう。
加えて、攻撃者が奪った権限は NT AUTHORITY\SYSTEM。ここまで取られれば、同じネットワーク内でのラテラルムーブメント（横展開）は時間の問題です。会議サーバー1台の話で終わらない、という前提で調査範囲を決めるべきでしょう。
情シスはどうすべきか
個別の対策チェックリストを自前で作るより、公的機関が整理した指針に沿って動くほうが確実で、経営層への説明もしやすくなります。
- 脆弱性対応の型を持つ：IPAの中小企業の情報セキュリティ対策ガイドラインには、資産の把握から更新運用までの基本形がまとまっています。「どのサーバーが何をしているか」を書き出すところから始めるのが、今回のような“忘れられたサーバー”に効きます。
- 侵害が疑われたときの動き方を決めておく：IPAのセキュリティインシデント対応 机上演習教材は、報告経路や初動判断を事前に詰めるのに使えます。KEV掲載品を使っていた、という状況はまさに演習向きのシナリオです。
- KEVカタログを定期的に見る：CISA KEVカタログはJSON形式でも配布されており、自社の資産リストと突き合わせる運用にできます。「CVSSが高いもの」ではなく「実際に悪用されているもの」から潰すのが、人手が足りない組織では現実的です。
- 利用者への啓発も忘れずに：IPAの対策のしおりなどを使い、「社内配布のソフトでも、案内された手順以外の入手経路は使わない」を周知しておくと、すり替えの被害範囲を狭められます。
中長期の視点：配布サーバーは“信頼の集約点”
資産管理ツール、MDM、キッティング用の共有フォルダ、社内ポータル。これらは「社員が疑わずにファイルを受け取る場所」であり、攻撃者から見れば1台落とせば全端末に届く踏み台です。守るべき優先度は、業務システムのサーバーと同じか、それ以上と考えるべきでしょう。
現実的な打ち手は、配布物の署名検証を運用に組み込む、配布サーバーの管理面を業務ネットワークから分離する、配布ディレクトリの変更を検知してログに残す、そしてEDRを配布サーバーにも入れる、といったあたりです。
まとめ
- TrueConf Serverの5.3.9／5.4.9／5.5.5未満を使っているなら、直ちに更新する。CVE-2026-72529とCVE-2026-72530は4307/TCPに到達できれば未認証で悪用でき、CISAが実際の悪用を確認済みです。
- 更新だけでなく侵害調査まで行う。Webシェル（locale.php）、不審なWindowsサービス、そして社内に配布済みのクライアントインストーラの署名を確認してください。
- TrueConfが無くても、社内の「配布サーバー」を見直す。今回の攻撃の本質は、社員が疑わない配布経路を乗っ取ることでした。自社の配布経路が同じ構図になっていないか、この機会に棚卸しを。
出典
- CISA｜Known Exploited Vulnerabilities Catalog（カタログ版 2026.08.20）
- Kaspersky ICS CERT｜KLCERT-26-057（CVE-2026-72529）
- Kaspersky ICS CERT｜KLCERT-26-058（CVE-2026-72530）
- Securelist｜Head Mare targets TrueConf Server with PhantomCore
- TrueConf｜Security fixes, updates and advisories
- NVD｜CVE-2026-72529 ／ NVD｜CVE-2026-72530
- Security NEXT｜米当局、「TrueConf Server」の脆弱性2件を悪用リストへ追加
