CISA ordina patch entro settembre: due vulnerabilità critiche…

CISA ha aggiunto al catalogo KEV due vulnerabilità critiche in TrueConf Server già sfruttate dal gruppo Head Mare per distribuire il malware PhantomCore.

Il 20 agosto 2026 la Cybersecurity and Infrastructure Security Agency (CISA) ha inserito nel catalogo Known Exploited Vulnerabilities (KEV) due falle critiche in TrueConf Server, piattaforma di videoconferenza on-premises. Le agenzie federali statunitensi devono sanarle entro date improrogabili: CVE-2026-72529 entro il 23 agosto 2026; CVE-2026-72530 entro il 3 settembre 2026. Entrambe sono già state sfruttate dal gruppo hacktivista Head Mare per distribuire il malware PhantomCore attraverso installer client trojanizzati.

Punti chiave

CVE-2026-72529 (CVSS 9.3, NVD) e CVE-2026-72530 (CVSS 9.5, SecurityAffairs) permettono RCE non autenticato su TrueConf Server via porta 4307/TCP, seguito da escape della sandbox isolata.
Le patch correggenti sono disponibili dal giugno 2026 nelle versioni 5.3.9, 5.4.9 e 5.5.5; CISA ha fissato deadline di compliance per le agenzie federali rispettivamente a 3 giorni e 2 settimane dal 20 agosto.
Il gruppo Head Mare ha sfruttato entrambe le vulnerabilità da almeno luglio 2026, colpendo organizzazioni russe nei settori trasporti, energia, IT, elettronica e sviluppo software.
L'attacco documentato da Kaspersky segue una catena: web shell su server, accesso privilegiato al database, sostituzione degli installer client, distribuzione di PhantomCore e backdoor persistente su sistemi *nix con C&C via protocollo TrueConf e GitHub.

La catena di attacco: da porta 4307 al controllo del sistema host

Le due vulnerabilità operano in sequenza. CVE-2026-72529, classificata dalla National Vulnerability Database come CWE-306 (Missing Authentication for Critical Function), consente a un attaccante remoto non autenticato di invocare una funzione non documentata su TrueConf Server in ascolto sulla porta 4307/TCP ed eseguire uno script arbitrario. Il vettore di attacco è interamente di rete, non richiede interazione utente e presenta complessità di attacco bassa secondo il CVSS 3.1 pubblicato dal NVD.

Da questa posizione iniziale, CVE-2026-72530 (CWE-94, Improper Control of Generation of Code) permette di rompere il confine della sandbox isolata in cui opera il server. Il record CVE-2026-72530 nel NVD descrive esplicitamente la possibilità per l'attaccante di "break out of the isolated environment and execute arbitrary code on the host system".

"A remote unauthenticated attacker connecting to TrueConf Server over 4307/TCP can invoke an undocumented critical function and execute an arbitrary script on the server" — TrueConf security team, via BleepingComputer

Head Mare e PhantomCore: tattiche, obiettivi e timeline confermata

L'analisi di Kaspersky, citata da BleepingComputer e SecurityWeek, colloca l'inizio dello sfruttamento da parte di Head Mare al luglio 2026. Il gruppo, descritto nelle fonti come hacktivista non finanziariamente motivato nonostante richieda riscatti, ha seguito un pattern operativo documentato. Dopo l'accesso iniziale al server TrueConf, gli operatori installano una web shell utilizzata per ricognizione interna, ottengono accesso privilegiato al database della piattaforma e sostituiscono i legittimi installer client con versioni malevole contenenti PhantomCore.

PhantomCore si installa come backdoor persistente sui sistemi *nix che eseguono TrueConf Server. SecurityWeek riporta che il malware utilizza due canali distinti per il command-and-control: il protocollo nativo TrueConf e infrastruttura ospitata su GitHub. Questa doppia modalità di comunicazione sfrutta i protocolli che l'organizzazione victim considera attendibili.

Il ruolo di Vyacheslav Kopeytsev, ricercatore di Kaspersky ICS CERT, nella scoperta delle due vulnerabilità è documentato sia da SecurityAffairs che dal record ufficiale CVE.org per CVE-2026-72529. Kaspersky ha fornito sia l'analisi dell'attacco in corso che la divulgazione coordinata delle falle.

Il contesto: un pattern ricorrente di targeting di TrueConf

L'ordine CISA arriva cinque mesi dopo un altro incidente significativo sulla stessa piattaforma. A marzo-aprile 2026, Check Point Research ha documentato "Operation True Chaos", un attacco basato su CVE-2026-3502 (CVSS 7.8, HIGH) attribuito a un threat actor di origine cinese. Quell'attacco, diverso per attori, tecniche e identificatore CVE, condivide il medesimo obiettivo: TrueConf Server on-premises come punto di ingresso nelle reti di organizzazioni che optano per soluzioni di videoconferenza self-hosted.

La doppia occorrenza nel 2026 — prima da parte di un attore cinese, poi dal gruppo hacktivista Head Mare — indica un interesse persistente e diversificato verso questa piattaforma. Le fonti non documentano connessioni dirette tra i due episodi.

Analisi: Perché la distribuzione via client compromessi amplifica il rischio

La sostituzione degli installer client legittimi con versioni malevole rappresenta una tecnica di propagazione interna che sfrutta la fiducia pre-esistente nei binari distribuiti dall'infrastruttura IT dell'organizzazione. A differenza di un payload che richiede download esterno, PhantomCore viene installato attraverso canali considerati sicuri dagli utenti finali. Questo meccanismo, documentato dalle fonti come parte della catena di Head Mare, spiega perché CISA abbia classificato entrambe le CVE con urgenza massima nonostante le patch fossero già disponibili.

Cosa fare adesso

Verificare l'esposizione della porta 4307/TCP: le agenzie federali USA devono conformarsi alle deadline BOD 22-01/26-04; le organizzazioni private dovrebbero trattare la stessa urgenza data l'exploit confermato in-the-wild.
Aggiornare alle versioni patchate 5.3.9, 5.4.9 o 5.5.5: le correzioni sono disponibili dal giugno 2026 e rappresentano l'unica mitigazione documentata dalle fonti.
Monitorare la presenza di TrueConf Server nelle versioni affette: le versioni 5.3.x-5.3.9, 5.4.x-5.4.9, 5.5.x-5.5.5 e precedenti sono vulnerabili.

Nota metodologica: i record NVD per CVE-2026-72529 e CVE-2026-72530 non riportano la data di pubblicazione; le informazioni temporali derivano dalle fonti di settore BleepingComputer, SecurityWeek e SecurityAffairs. Il punteggio CVSS 9.5 per CVE-2026-72530 proviene da SecurityAffairs, mentre il NVD non ha ancora assegnato un punteggio finale al momento delle fonti disponibili.

Chiusura editoriale

L'ordine CISA del 20 agosto 2026 conferma che due vulnerabilità con patch disponibili da giugno rimangono attivamente sfruttate in-the-wild, con conseguenze operative concrete per le agenzie federali. La catena di attacco documentata da Kaspersky — dalla compromissione iniziale del server alla distribuzione di PhantomCore via installer client — mostra come piattaforme on-premises, pur offrende controllo dei dati, richiedano applicazione tempestiva delle correzioni di sicurezza. Il caso Head Mare si aggiunge a "Operation True Chaos" come secondo episodio nel 2026 a targetizzare TrueConf Server, senza che le fonti documentino collegamenti tra i due attacchi.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti