--- title: "TrueConf Server に認証なしでスクリプト実行とサンドボックス脱出（CVE-2026-72529・CVE-2026-72530）: CVSS 9.8／9.0、CISA KEV に追加済み" url: https://n-t-p.io/worldsecurity/articles/trueconf-server-cve-2026-72529-72530-kev-unauth-script-exec lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 緊急 cve: CVE-2026-72529, CVE-2026-72530 --- # TrueConf Server に認証なしでスクリプト実行とサンドボックス脱出（CVE-2026-72529・CVE-2026-72530）: CVSS 9.8／9.0、CISA KEV に追加済み > **TL;DR:** TrueConf Server に、認証なしで任意のスクリプトを実行できる欠陥（CVE-2026-72529、CVSS 9.8）と、隔離環境を抜けてホストでコードを実行できる欠陥（CVE-2026-72530、CVSS 9.0）。2 件とも CISA KEV に 2026-08-20 追加済み。4307/TCP の公開を絞り、更新する。 **要点** - CVE-2026-72529: 未公開の関数を呼び出し、認証なしで任意のスクリプトを実行できる（CWE-306、CVSS v3.1 9.8） - CVE-2026-72530: 細工したスクリプトで隔離環境を抜け、ホストでコードを実行できる（CWE-94、CVSS v3.1 9.0） - 2 件とも CISA KEV に 2026-08-20 追加（期限 08-23／09-03）。EPSS は 0.015／0.017 - 対象は 5.3.x〜5.5.x の 5.3.9／5.4.9／5.5.5 付近まで。4307/TCP を限定して更新。修正版番号と悪用規模は未確認 TrueConf Server に、ポート 4307/TCP へアクセスできる認証なしの攻撃者が、任意のスクリプトを実行できる欠陥（CVE-2026-72529）と、そのスクリプトの隔離環境を抜けてホスト上で任意のコードを実行できる欠陥（CVE-2026-72530）が見つかりました。2 件とも 2026-08-20 に CISA の KEV（悪用が確認された脆弱性）カタログへ追加されています。CVSS v3.1 は 9.8 と 9.0（いずれも報告元の Kaspersky ICS CERT の評価）です。 ## 概要 | 項目 | CVE-2026-72529 | CVE-2026-72530 | |---|---|---| | 問題 | 重要な機能に認証がない（CWE-306）。未公開の関数を呼び出して任意のスクリプトを実行できる | コードインジェクション（CWE-94）。細工したスクリプトで隔離環境を抜け、ホスト上でコードを実行できる | | 攻撃条件 | 4307/TCP へのネットワーク到達、認証不要 | 同左（攻撃の複雑さは「高」） | | CVSS v3.1 | 9.8（AV:N/AC:L/PR:N/UI:N） | 9.0（AV:N/AC:H/PR:N/UI:N/S:C） | | CVSS v4.0 | 9.3 | 9.5 | | EPSS | 0.0146（パーセンタイル 0.737） | 0.0169（パーセンタイル 0.770） | | CISA KEV | 2026-08-20 追加。期限 2026-08-23。フォレンジック調査を要求 | 2026-08-20 追加。期限 2026-09-03 | | NVD の状態 | Analyzed | Analyzed | 対象は TrueConf Server の 5.3.x（5.3.9 まで）、5.4.x（5.4.9 まで）、5.5.x（5.5.5 まで）とそれ以前の版で、Windows と Linux の両方です。NVD の構成情報では各系統の上限は「未満」と記載されており、修正の境界は系統ごとに 5.3.9・5.4.9・5.5.5 付近と読めますが、公式の修正版番号は確認できていません。 ## なぜ重要か TrueConf Server は組織内に置くビデオ会議サーバーです。認証なしで到達できる口からスクリプトを実行でき、さらに隔離環境を抜けられると、サーバー全体を乗っ取られるおそれがあります。会議の内容や参加者情報、サーバー上に保存された認証情報の取得、内部ネットワークへの足がかりに使われる可能性があります。2 件は組み合わせて使えると考えられ、CISA は SSVC で 72529 を「悪用あり・自動化可能」、72530 を「悪用あり」と評価しています。72529 の KEV 期限が 3 日と短く、フォレンジック調査も求められている点から、侵害済みの可能性を前提に確認する必要があります。 ## 対策 - 自組織の TrueConf Server の版を確認し、ベンダーの案内に従って更新する（TrueConf のセキュリティ情報ページを確認する）。 - 更新までの間、4307/TCP をインターネットや信頼できないネットワークから到達できないようにし、必要な管理端末だけに限定する。 - KEV の期限はすでに過ぎている。更新の前に、サーバー上の不審なプロセス・スクリプト・新規アカウント・設定変更、想定外の外向き通信がないかを調べる。 - 侵害の疑いがあれば、サーバーに保存された認証情報と連携先（ディレクトリサービス等）の資格情報を更新する。 - 公開が不要なら、サーバーを外部公開しない構成にする。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD | 2 件とも Analyzed。評価は Kaspersky（NVD 独自スコアなし） | | CWE | CWE-306（72529）、CWE-94（72530） | | EPSS | 0.0146／0.0169（FIRST、2026-11-03） | | KEV | 2026-08-20 追加。期限 2026-08-23／2026-09-03。ランサムウェアでの利用は「不明」 | | 出典 | NVD、CISA KEV、FIRST、Kaspersky ICS CERT 勧告、TrueConf セキュリティ情報 | ## 未確認の点 - 公式の修正版番号と、5.5.x より新しい版の影響。NVD の範囲からの推定にとどまる。 - 悪用の規模、攻撃者、実際の攻撃手順。KEV は悪用の確認を示すが、詳細は公開情報で確認できていない。 - 2 件を連鎖させた攻撃が実際に確認されているか。 - 更新できない場合の公式な回避策（ポート制限は一般的な対策であり、ベンダー案内ではない）。 ## 出典 - [NVD CVE-2026-72529](https://nvd.nist.gov/vuln/detail/CVE-2026-72529) — NIST NVD - [NVD CVE-2026-72530](https://nvd.nist.gov/vuln/detail/CVE-2026-72530) — NIST NVD - [Kaspersky ICS CERT: TrueConf Server missing authentication for critical function](https://ics-cert.kaspersky.com/advisories/2026/08/11/trueconf-server-missing-authentication-for-critical-function/) — Kaspersky ICS CERT - [Kaspersky ICS CERT: TrueConf Server breakout from isolated environment](https://ics-cert.kaspersky.com/advisories/2026/08/11/trueconf-server-breakout-from-isolated-environment/) — Kaspersky ICS CERT - [TrueConf セキュリティ情報](https://trueconf.com/blog/news/security-fixes-updates-and-advisories) — TrueConf - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-72529) — CISA - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-72529) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/trueconf-server-cve-2026-72529-72530-kev-unauth-script-exec