TrueConf Server に認証なしでスクリプト実行とサンドボックス脱出（CVE-2026-72529・CVE-2026-72530）: CVSS 9.8／9.0、CISA KEV に追加済み

TrueConf Server に、ポート 4307/TCP へアクセスできる認証なしの攻撃者が、任意のスクリプトを実行できる欠陥（CVE-2026-72529）と、そのスクリプトの隔離環境を抜けてホスト上で任意のコードを実行できる欠陥（CVE-2026-72530）が見つかりました。2 件とも 2026-08-20 に CISA の KEV（悪用が確認された脆弱性）カタログへ追加されています。CVSS v3.1 は 9.8 と 9.0（いずれも報告元の Kaspersky ICS CERT の評価）です。

概要

項目	CVE-2026-72529	CVE-2026-72530
問題	重要な機能に認証がない（CWE-306）。未公開の関数を呼び出して任意のスクリプトを実行できる	コードインジェクション（CWE-94）。細工したスクリプトで隔離環境を抜け、ホスト上でコードを実行できる
攻撃条件	4307/TCP へのネットワーク到達、認証不要	同左（攻撃の複雑さは「高」）
CVSS v3.1	9.8（AV:N/AC:L/PR:N/UI:N）	9.0（AV:N/AC:H/PR:N/UI:N/S:C）
CVSS v4.0	9.3	9.5
EPSS	0.0146（パーセンタイル 0.737）	0.0169（パーセンタイル 0.770）
CISA KEV	2026-08-20 追加。期限 2026-08-23。フォレンジック調査を要求	2026-08-20 追加。期限 2026-09-03
NVD の状態	Analyzed	Analyzed

対象は TrueConf Server の 5.3.x（5.3.9 まで）、5.4.x（5.4.9 まで）、5.5.x（5.5.5 まで）とそれ以前の版で、Windows と Linux の両方です。NVD の構成情報では各系統の上限は「未満」と記載されており、修正の境界は系統ごとに 5.3.9・5.4.9・5.5.5 付近と読めますが、公式の修正版番号は確認できていません。

なぜ重要か

TrueConf Server は組織内に置くビデオ会議サーバーです。認証なしで到達できる口からスクリプトを実行でき、さらに隔離環境を抜けられると、サーバー全体を乗っ取られるおそれがあります。会議の内容や参加者情報、サーバー上に保存された認証情報の取得、内部ネットワークへの足がかりに使われる可能性があります。2 件は組み合わせて使えると考えられ、CISA は SSVC で 72529 を「悪用あり・自動化可能」、72530 を「悪用あり」と評価しています。72529 の KEV 期限が 3 日と短く、フォレンジック調査も求められている点から、侵害済みの可能性を前提に確認する必要があります。

対策

• 自組織の TrueConf Server の版を確認し、ベンダーの案内に従って更新する（TrueConf のセキュリティ情報ページを確認する）。
• 更新までの間、4307/TCP をインターネットや信頼できないネットワークから到達できないようにし、必要な管理端末だけに限定する。
• KEV の期限はすでに過ぎている。更新の前に、サーバー上の不審なプロセス・スクリプト・新規アカウント・設定変更、想定外の外向き通信がないかを調べる。
• 侵害の疑いがあれば、サーバーに保存された認証情報と連携先（ディレクトリサービス等）の資格情報を更新する。
• 公開が不要なら、サーバーを外部公開しない構成にする。

数値と出典（2026-11-03 時点）

項目	内容
NVD	2 件とも Analyzed。評価は Kaspersky（NVD 独自スコアなし）
CWE	CWE-306（72529）、CWE-94（72530）
EPSS	0.0146／0.0169（FIRST、2026-11-03）
KEV	2026-08-20 追加。期限 2026-08-23／2026-09-03。ランサムウェアでの利用は「不明」
出典	NVD、CISA KEV、FIRST、Kaspersky ICS CERT 勧告、TrueConf セキュリティ情報

未確認の点

• 公式の修正版番号と、5.5.x より新しい版の影響。NVD の範囲からの推定にとどまる。
• 悪用の規模、攻撃者、実際の攻撃手順。KEV は悪用の確認を示すが、詳細は公開情報で確認できていない。
• 2 件を連鎖させた攻撃が実際に確認されているか。
• 更新できない場合の公式な回避策（ポート制限は一般的な対策であり、ベンダー案内ではない）。