ビデオ会議ソフト「TrueConf Server」に任意スクリプト実行の重大な脆弱性、CISAが悪用リストに追加

要点

• ビデオ会議サーバー製品「TrueConf Server」において、認証を経ずに任意のスクリプトを実行できる深刻な脆弱性（CVE-2026-72529）が判明した。

• セキュリティ企業Kaspersky Labsによる深刻度評価では、CVSS v3.1で「9.8」、CVSS v4.0で「9.3」と、いずれも最も高い「CRITICAL（緊急）」と算出されている。

• 対象となるTCPポートへのネットワークアクセスがあれば、文書化されていない非公開関数を呼び出すことで攻撃が成立する。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、本脆弱性がサイバー攻撃で実際に悪用されていることを確認し、カタログへ追加した。

• ビデオ会議システムを提供するTrueConfのサーバーソフトウェア「TrueConf Server」において、認証を伴わずに遠隔から任意のスクリプトを実行可能となる脆弱性（CVE-2026-72529）が確認された。CVE採番機関（CNA：脆弱性情報の識別番号を付与・管理する組織）であるKaspersky Labs（カスペルスキー）の分析によると、共通脆弱性評価システム（CVSS）における深刻度は最高区分である「CRITICAL」と評価されている。さらに米国土安全保障省のサイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月20日、本脆弱性が現実に悪用されているとして、同庁が管理する「悪用が確認された脆弱性カタログ（KEV）」へ追加した。

脆弱性の詳細と攻撃が成立する仕組み

今回報告された脆弱性「CVE-2026-72529」は、脆弱性タイプ「CWE-306（重要な機能における認証の欠如：本来は利用者の識別や権限確認が必要な処理が無防備になっている状態）」に該当する。

米国立標準技術研究所（NIST）が公開したデータベースの情報によると、TrueConf Serverが稼働する環境に対し、ネットワーク経由でTCPポート4307番へのアクセスが可能な場合、リモートの第三者が文書化されていない非公開関数を呼び出せる状態になっていたという。この非公開関数の呼び出しにおいて適切な認証処理が行われないため、攻撃者は権限を持たない状態であっても任意のスクリプトを実行することが可能になる。攻撃の成立にあたって特別な事前権限や利用者の操作などは必要なく、ポートへ通信が到達できる環境であれば成立するとされている。

影響を受ける製品と対象バージョン

本脆弱性の影響を受ける範囲として、TrueConf ServerのWindows版およびLinux版における複数のバージョン系列が挙げられている。

NISTの構成情報および初期分析データによると、影響を受ける具体的なソフトウェアバージョンは以下のとおりである。

• Windows環境

  • バージョン 5.3.X 〜 5.3.9（ビルド 5.3.9.10013 未満）
  • バージョン 5.4.X 〜 5.4.9（ビルド 5.4.0.12689 以上、5.4.9.10072 未満）
  • バージョン 5.5.X 〜 5.5.5（ビルド 5.5.0.13826 以上、5.5.5.10010 未満）
  • およびこれらより前のバージョン

• Linux環境（Linux Kernel）

  • バージョン 5.3.9.10015 未満
  • バージョン 5.4.0.12700 以上、5.4.9.10019 未満
  • バージョン 5.5.0.13828 以上、5.5.5.10009 未満

Windows環境・Linux環境ともに広範なビルドが影響対象に含まれていることが示されている。

CVSSによる深刻度評価

本脆弱性に対して、Kaspersky Labsは極めて高い深刻度スコアを算出している。

共通脆弱性評価システム「CVSS v3.1」に基づく評価では、基本スコアが10点満点中「9.8（CRITICAL）」と判定された。評価指標の内訳（ベクター）によると、攻撃元はネットワーク（AV:N）、攻撃の複雑さは低（AC:L）、必要な特権レベルは不要（PR:N）、ユーザー関与も不要（UI:N）であり、情報漏えいなどの機密性（C:H）、改ざんなどの完全性（I:H）、システム停止などの可用性（A:H）のすべてに対して「高（High）」の影響を及ぼすと分析されている。

また、最新の評価基準である「CVSS v4.0」においても基本スコア「9.3（CRITICAL）」が算出されている。脆弱性影響スコア（VC/VI/VA）はいずれも「High」と判定されており、攻撃を受けた際の影響がシステム全体に波及する可能性が示されている。なお、NIST（NVD）による独自評価は現時点ではまだ提供されていない。

CISAによる悪用確認とカタログ追加

米CISAは2026年8月20日、本脆弱性を「悪用が確認された脆弱性カタログ（KEV：実際にサイバー攻撃で使われた脆弱性の一覧）」へ追加した。

CISAの更新履歴によると、利害関係者向け脆弱性分類（SSVC）における悪用状況（exploitation）の判定が、当初の「none（悪用なし）」から「active（現在進行形で悪用あり）」へと引き上げられた。これに伴い、CISAは関連組織に対し、ベンダーの指示に従った緩和策の適用を求めている。緩和策が利用できない場合の製品使用停止の検討や、インターネットへの露出状況に応じたセキュリティ更新指針（BOD 26-04など）に基づく対応が指示されている。

また、本脆弱性に関連する情報として、Kaspersky ICS-CERTが2026年8月11日に公開したアドバイザリのほか、脅威グループ「Head-mare」がマルウェア「PhantomCore」を用いてTrueConf Serverを標的にした攻撃活動に関するレポートが参照先として挙げられている。