TrueConf Server: CISA warnt vor aktiv genutzten Lücken

Videokonferenz-Server sind langweilig. Sie laufen, sie werden selten angefasst, und niemand denkt beim Thema Sicherheit zuerst an sie. Genau deshalb ist diese Meldung so unangenehm: Angreifer haben einen TrueConf-Server nicht als Ziel benutzt, sondern als Verteilstelle — und über ihn Schadsoftware an die Teilnehmer weitergereicht.

ALARM: Zwei Lücken, eine Kette

Die US-Behörde CISA hat am 20. August 2026 zwei Schwachstellen in ihren Katalog aktiv ausgenutzter Lücken aufgenommen:

CVE-2026-72529 — fehlende Authentifizierung an einer kritischen Funktion. Eine undokumentierte Funktion lässt sich ohne Anmeldung aufrufen und führt beliebige Skripte aus.
CVE-2026-72530 — Code-Injection. Damit bricht der Angreifer aus der abgeschotteten Umgebung aus und führt Befehle direkt auf dem Betriebssystem aus.

Einzeln sind beide unschön. Verkettet ergeben sie den Vollzugriff: erst rein, dann raus aus der Sandbox, dann SYSTEM-Rechte. Der Einstieg läuft über TCP-Port 4307, der bei verwundbaren Servern standardmäßig offen ist. Betroffen sind laut Berichten alle Versionen seit 2022.

Für US-Bundesbehörden hat CISA ungewöhnlich enge Fristen gesetzt: drei Tage für die erste Lücke, zwei Wochen für die zweite. Diese Fristen gelten für dich rechtlich nicht — als Dringlichkeitsmaßstab sind sie trotzdem brauchbar.

UNGLAUBLICH: Der Server war nur das Zwischenziel

Der eigentlich lehrreiche Teil steckt im Angriffsablauf, den Kasperskys ICS-CERT am 12. August beschrieben hat. Zugeordnet wird die Kampagne der Gruppe Head Mare. Der Ablauf:

Zugriff auf den ungepatchten TrueConf-Server über Port 4307.
Ablegen einer Web-Shell — eine Datei des Servers wird ausgetauscht und dient fortan als Fernsteuerung.
Auskundschaften der Infrastruktur und Zugriff auf die Server-Datenbank.
Austausch der Client-Installationsdateien gegen präparierte Versionen.

Und damit war der Server nicht mehr das Opfer, sondern der Bote. Wer sich anschließend den Client von „seinem“ vertrauenswürdigen Firmenserver herunterlud, installierte die Hintertüren PhantomCore und PhantomGraph gleich mit. PhantomGraph besteht laut Analyse aus zwei DLL-Dateien und nimmt seine Befehle über ein Microsoft-OneDrive-Konto entgegen — Steuerverkehr, der in vielen Netzen völlig normal aussieht.

Ziel der Kampagne waren vorrangig russische Organisationen aus Bereichen wie Elektronik, Transport, Energie, IT und Softwareentwicklung. Die Angriffstechnik ist davon unabhängig — genau das macht sie interessant.

Der Patch ist alt. Das Problem nicht.

Und jetzt kommt die Pointe: Die Korrekturen gibt es seit dem 18. Juni 2026, in den Versionen 5.3.9, 5.4.9 und 5.5.5. Zwei Monate später landen die Lücken trotzdem im Katalog der aktiv ausgenutzten Schwachstellen — weil genug Server noch immer ungepatcht laufen.

Das ist das typische Schicksal von Diensten, die einfach funktionieren. Ein Konferenzserver meldet sich nicht, wenn er veraltet ist.

So gehst du vor — 4 Schritte

Version prüfen und aktualisieren. Alles unterhalb von 5.3.9 / 5.4.9 / 5.5.5 gilt als verwundbar.
Port 4307 abschotten. Er gehört nicht ins offene Internet — Zugriff nur aus dem internen Netz oder über VPN.
Installationsdateien misstrauisch behandeln. Prüfsummen und Signaturen der ausgelieferten Clients mit den Angaben des Herstellers vergleichen. Wenn dein Server offen im Netz stand, reicht ein Update allein nicht — die verteilten Clients sind Teil des Problems.
Nach Spuren suchen. Veränderte Dateien im Serververzeichnis, unerwartete Datenbankzugriffe, ungewöhnlicher ausgehender Verkehr zu Cloud-Speicherdiensten.

FAZIT: Update ist der Anfang, nicht das Ende

Die wichtigste Lehre hat nichts mit TrueConf zu tun. Sobald ein Dienst Software an andere verteilt — Installer, Updates, Agenten, Container-Abbilder —, ist er nach einem Einbruch nicht nur beschädigt, sondern ansteckend. Bei solchen Systemen gehört zur Aufräumarbeit immer die Frage: Was habe ich in der Zwischenzeit an andere ausgeliefert?

Häufige Fragen

Welche TrueConf-Versionen sind betroffen?

Nach den vorliegenden Berichten sind alle TrueConf-Server-Versionen seit 2022 verwundbar. Behoben wurden die beiden Lücken am 18. Juni 2026 in den Versionen 5.3.9, 5.4.9 und 5.5.5. Wer eine ältere Version betreibt, sollte das Update als dringend einstufen — CISA hat für Bundesbehörden Fristen von drei Tagen beziehungsweise zwei Wochen gesetzt.

Reicht es, wenn ich den Server aktualisiere?

Nur wenn dein Server nachweislich nicht angegriffen wurde. Der beschriebene Angriff hat die Client-Installationsdateien auf dem Server ausgetauscht. Wer diese Dateien in der fraglichen Zeit verteilt hat, muss die betroffenen Arbeitsplätze ebenfalls prüfen — sonst bleibt die Hintertür bestehen, obwohl der Server sauber ist.

Wie merke ich, dass mein Server angegriffen wurde?

Achte auf veränderte oder unerwartet neue Dateien im Serververzeichnis, auf Datenbankzugriffe außerhalb des normalen Betriebs und auf ausgehenden Verkehr zu Cloud-Speicherdiensten. Die eingesetzte Hintertür PhantomGraph nimmt Befehle über ein OneDrive-Konto entgegen, was in Firmennetzen unauffällig wirkt.

Ist Port 4307 wirklich das Kernproblem?

Er ist der Einstiegspunkt. Der Port ist bei verwundbaren Installationen standardmäßig offen und erlaubt den Aufruf der ungeschützten Funktion aus CVE-2026-72529. Ein Server, der diesen Port nur im internen Netz anbietet, ist deutlich schwerer angreifbar — ein Ersatz für das Update ist die Netzabschottung aber nicht.

HINTERTÜR IM MEETING! Angreifer tauschten den Konferenz-Client aus — CISA setzt jetzt Fristen