Vulnérabilités TrueConf activement exploitées (KEV)

CVE-2026-72530 — TrueConf Server : vulnérabilité d'injection de code Critique

• Produit : TrueConf Server
• Ajoutée au catalogue : 20 août 2026
• Échéance CISA : 3 septembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 9,5 (critique)
• Probabilité d’exploitation (EPSS) : 2 %

TrueConf Server contient une vulnérabilité d'injection de code qui pourrait permettre à un attaquant distant non autorisé ayant un accès réseau via le port 4307/TCP d'utiliser un script spécialement conçu pour sortir de l'environnement isolé et exécuter du code arbitraire sur le système hôte.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · trueconf.com · ics-cert.kaspersky.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-72529 — TrueConf Server : vulnérabilité d'absence d'authentification pour une fonction critique Critique

• Produit : TrueConf Server
• Ajoutée au catalogue : 20 août 2026
• Échéance CISA : 23 août 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-306
• Gravité : CVSS 9,3 (critique)
• Probabilité d’exploitation (EPSS) : 1 %

TrueConf Server contient une vulnérabilité d'absence d'authentification pour une fonction critique qui pourrait permettre à un attaquant non autorisé à distance, disposant d'un accès réseau via le port 4307/TCP, d'exécuter un script arbitraire.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · trueconf.com · ics-cert.kaspersky.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-3502 — TrueConf Client : téléchargement de code sans vérification d'intégrité

• Produit : TrueConf Client
• Ajoutée au catalogue : 2 avril 2026
• Échéance CISA : 16 avril 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-494
• Gravité : CVSS 7,8 (élevée)
• Probabilité d’exploitation (EPSS) : 6 %

TrueConf Client contient une vulnérabilité de téléchargement de code sans vérification d'intégrité. Un attaquant capable d'influencer le chemin de livraison de la mise à jour peut substituer une charge utile de mise à jour falsifiée. Si la charge utile est exécutée ou installée par l'actualisateur, cela peut entraîner une exécution de code arbitraire dans le contexte du processus de mise à jour ou de l'utilisateur.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · trueconf.com · trueconf.com