ビデオ会議サーバー「TrueConf Server」に深刻なコードインジェクションの脆弱性、CISAが悪用カタログへ追加

要点

• ビデオ会議サーバーソフト「TrueConf Server」において、隔離環境を脱出してホスト上で任意のコードを実行できる深刻な脆弱性（CVE-2026-72530）が判明した。

• セキュリティ機関による評価では、CVSS v4.0の基本スコアが9.5、CVSS v3.1が9.0と判定され、最も危険度の高い「緊急（CRITICAL）」に分類されている。

• 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、本脆弱性が実際に攻撃へ悪用されていることを確認し、悪用確認済み脆弱性カタログ（KEV）へ登録した。

• 影響を受ける対象はWindows版およびLinux版の幅広いバージョンにおよび、TCPポート4307へのネットワーク接続が可能な環境が標的となる。

• 米国の脆弱性情報データベース（NVD）およびセキュリティ機関の報告により、企業向けビデオ会議システム「TrueConf Server」に深刻な脆弱性「CVE-2026-72530」が存在することが明らかになった。本脆弱性は外部からネットワーク経由で不正なコードを実行される恐れがあるもので、セキュリティ企業のカスペルスキー（Kaspersky Labs）が危険度を「緊急」と評価している。さらに米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月20日、本脆弱性が現実の攻撃で悪用されていることを確認したとして、対策を義務付けるカタログに追加した。

脆弱性の概要と攻撃の手法

今回公表されたCVE-2026-72530は、CWE（共通脆弱性タイプ一覧）において「CWE-94: コード生成の不適切な制御（コードインジェクション）」に分類されている。コードインジェクションとは、システムが外部入力を適切に処理しないことで、悪意のあるプログラムコードを注入・実行されてしまう不具合を指す。

NVDの公開情報によると、認証を受けていない遠隔の攻撃者が、TrueConf Serverが利用する「4307/TCP」ポートへネットワーク経由でアクセスできる状態にある場合、特別に細工したスクリプトを送信することが可能になるという。これにより、サーバーが本来設けている隔離環境（サンドボックスなどの制限された実行領域）を突破され、基盤となるホストシステム上で任意のコードを実行される危険性があるとしている。

影響を受ける対象環境とバージョン

本脆弱性は、TrueConf ServerのWindows向けおよびLinux向け双方の広範なバージョンに影響することが確認されている。影響を受けるとされるバージョン範囲は以下のとおりだ。

Windows版では、バージョン5.3.X系列（5.3.9.10013未満）、バージョン5.4.X系列（5.4.0.12689から5.4.9.10072未満）、バージョン5.5.X系列（5.5.0.13826から5.5.5.10010未満）、およびこれらより前のバージョンが該当する。

Linux版においても同様に、バージョン5.3.X系列（5.3.9.10015未満）、バージョン5.4.X系列（5.4.0.12700から5.4.9.10019未満）、バージョン5.5.X系列（5.5.0.13828から5.5.5.10009未満）、およびそれ以前のバージョンが影響範囲に含まれている。

深刻度の評価とCVSSスコア

脆弱性の深刻度を示す国際的な評価基準「CVSS（共通脆弱性評価システム）」において、CVE番号の付与元（CNA）であるカスペルスキーは極めて高いスコアを算出している。

最新基準であるCVSS v4.0に基づく評価では、基本スコアが「9.5（CRITICAL）」と判定された。攻撃経路がネットワーク経由（AV:N）であり、認証なし（PR:N）かつユーザーの操作を必要としない（UI:N）一方、システムの機密性・完全性・可用性のすべてに対して甚大な影響（VC:H/VI:H/VA:H）をおよぼす点が重視されている。

また、従来基準のCVSS v3.1における基本スコアも「9.0（CRITICAL）」と評価された。なお、現時点でNVD独自のスコア算出結果は未提供（N/A）となっている。

実際の悪用確認とCISA KEVへの登録

カスペルスキーの産業制御システム向けセキュリティ組織（ICS-CERT）は、2026年8月11日付で本脆弱性に関するアドバイザリを公開していた。また同社のセキュリティ調査機関Securelistの報告によると、脅威グループ「Head-mare」がマルウェア「PhantomCore」を用いてTrueConf Serverを標的に攻撃を行っている事例が確認されたという。

これを受け、米政府機関のサイバー防衛を担うCISAは、2026年8月20日に脆弱性の脅威判定（SSVC）を「悪用なし（none）」から「活発に悪用中（active）」へと更新した。同時に、実際に攻撃で利用されていることが確認された脆弱性を一覧化した「悪用確認済み脆弱性カタログ（KEV: Known Exploited Vulnerabilities Catalog）」へCVE-2026-72530を追加した。

求められる対応と措置期日

CISAは連邦運用指令（BOD 22-01およびBOD 26-04）に基づき、関係組織に対してベンダーの指示に沿った緩和策や修正の適用を求めている。資産のインターネット公開状況を評価した上でリスクに応じたセキュリティ更新を実施すること、フォレンジック（原因究明のための調査）要件を遵守すること、さらに緩和策が講じられないクラウドサービス等の場合は製品の使用を停止することが規定されている。

CISAが定めた対応完了の期日は2026年9月3日となっており、対象システムを運用する組織には迅速な実態把握と対処が指定されている。