Deux failles TrueConf Server s’exploitent sans authentification sur le port 4307, et Head Mare y greffe PhantomCore

18 juin 2026. TrueConf publie les correctifs 5.3.9, 5.4.9 et 5.5.5 pour son serveur de visioconférence auto-hébergé. 11 août 2026. Kaspersky documente une campagne qui exploite une version non corrigée pour livrer un backdoor nommé PhantomCore. 20 août 2026. CISA inscrit les deux failles — CVE-2026-72529 et CVE-2026-72530 — au catalogue KEV, preuve d’exploitation active dans la nature.

Pour un RSSI, la leçon tient en une phrase : un correctif publié en juin n’a rien empêché en août, parce que la faille se tient à un port qui n’aurait jamais dû répondre à l’Internet.

Deux failles, une porte sans poignée

CVE-2026-72529 est une missing authentication for critical function (CWE-306), notée 9,8 en CVSS v3.1 et 9,3 en CVSS v4.0. Concrètement, un attaquant distant non authentifié qui atteint le port 4307/TCP du serveur peut appeler une fonction non documentée et lui faire exécuter un script arbitraire. Aucune authentification, aucune interaction utilisateur, aucun privilège préalable : la seule condition est la connectivité réseau.

CVE-2026-72530 est une injection de code qui complète la chaîne. Elle permet à l’attaquant de s’échapper de l’environnement isolé où tourne le serveur et d’exécuter du code arbitraire sur l’hôte, jusqu’au niveau NT AUTHORITY\SYSTEM sur les déploiements Windows.

Les deux failles touchent les branches 5.3.x, 5.4.x et 5.5.x jusqu’aux versions corrigées du 18 juin 2026, ainsi que les versions antérieures. L’assignation des CVE revient à Kaspersky, ce qui n’est pas un détail : elle signale que l’éditeur de sécurité a lui-même identifié la vulnérabilité au fil d’une réponse à incident, pas au terme d’un audit produit.

Le déroulé observé par Kaspersky

Le rapport publié sur Securelist le 11 août 2026 attribue la campagne au groupe Head Mare et décrit une chaîne d’intrusion qui exploite CVE-2026-72529 comme porte d’entrée. L’attaquant se connecte sans authentification au port 4307/TCP, invoque la fonction vulnérable avec un script malveillant, puis utilise CVE-2026-72530 pour sortir de l’environnement isolé et obtenir l’exécution en tant que SYSTEM.

Ensuite, deux choses se produisent, et c’est la seconde qui change la gravité de l’affaire.

D’abord, le serveur compromis sert de pivot de distribution. L’attaquant remplace le fichier locale.php de l’interface web par un web shell, puis substitue le paquet légitime TrueConf Client par une version non signée porteuse du backdoor PhantomCore. Résultat : un partenaire dont le serveur est percé devient, à son insu, le canal par lequel ses propres clients téléchargent un client trojanisé.

Ensuite, Kaspersky a documenté des modules complémentaires nommés PhantomGraph — notamment SysExcSvc.dll et SysReadSvc.dll — associés à du trafic de commande transitant par OneDrive, un accès au processus LSASS et un tunnel SSH inversé. Ce sont des artefacts d’incident observés, pas une liste de contrôle universelle : une absence de ces marqueurs ne prouve pas qu’un autre serveur est sain.

Le ciblage, lui, est clair. Kaspersky évoque des organisations russes dans l’industrie manufacturière, l’électronique, les transports, l’énergie, l’informatique et l’édition de logiciels. CISA ne publie pas de comptage public de victimes et note l’usage de ransomware comme inconnu — mais l’inscription au KEV suffit à établir l’exploitation active.

Pourquoi le correctif de juin n’a pas suffi

Le calendrier est l’argument central de l’affaire. Les correctifs datent du 18 juin 2026. L’exploitation documentée court au moins jusqu’en août. Six semaines séparent donc la disponibilité d’un remède de l’inscription des failles au KEV — et pendant ces six semaines, des serveurs exposés sont restés ouverts sur un port qui exécute des scripts sans authentification.

Ce décalage a une explication structurelle : TrueConf Server est un produit auto-hébergé. Il n’y a pas de canal de mise à jour forcée comme sur une offre SaaS ; le correctif n’existe que si l’équipe qui exploite le serveur le télécharge et l’applique. Un parc de serveurs de visioconférence internes est précisément le genre d’actif qu’on met à jour « quand on a le temps », parce qu’il ne porte pas la charge de production critique.

CISA fixe d’ailleurs des échéances distinctes pour les agences fédérales américaines : le 23 août 2026 pour CVE-2026-72529 et le 3 septembre 2026 pour CVE-2026-72530. La seconde date ne doit pas être lue comme une fenêtre de confort : c’est une contrainte administrative, pas une évaluation du risque réel.

Un pattern récurrent, et un paradoxe de scoring

CWE-306 — missing authentication for critical function — n’est pas une rareté de niche : c’est une famille entière de vulnérabilités qui frappe les produits auto-hébergés dès qu’une fonction interne, jamais destinée à être exposée, devient joignable depuis le réseau. La faille CVE-2026-72529 en est l’archétype : une fonction non documentée du serveur, appelable via le port 4307/TCP, qui exécute un script sans jamais vérifier qui l’appelle. L’attaquant n’a pas besoin d’exploiter un bug complexe — il suffit que la fonction soit là, et que le port soit ouvert.

Un détail de scoring mérite l’attention. Le score EPSS de CVE-2026-72529 est inférieur à 1 % — une probabilité d’exploitation prédite très faible selon le modèle. L’inscription au catalogue KEV de CISA raconte pourtant l’inverse : la faille est exploitée dans la nature. C’est un rappel que l’EPSS mesure une prévalence statistique, pas un danger immédiat : une faille inscrite au KEV est exploitée maintenant, quel que soit son score prédictif.

Ce décalage entre scoring et réalité renforce la consigne opérationnelle : sur un produit auto-hébergé exposé, le signal KEV prime sur tout score. Il signale une exploitation en cours, pas une probabilité.

Ce qu’il faut faire

La réponse se déroule en trois temps, dans l’ordre.

Corriger d’abord. Installez au minimum 5.3.9, 5.4.9 ou 5.5.5 selon votre branche. Si vous tournez en 5.2 ou antérieur, contactez TrueConf pour planifier une migration vers une branche supportée, et ne laissez pas le port 4307 exposé en attendant.

Fermer le port. Le port 4307/TCP n’a aucune raison d’être joignable depuis l’Internet. Restreignez-le aux seuls hôtes qui en ont besoin, idéalement derrière une VPN d’administration. Un port fermé réduit le risque, mais ne prouve pas qu’un hôte déjà atteint est propre : c’est une réduction de surface, pas un verdict.

Prouver que l’intrus est parti. Un correctif appliqué sur un serveur déjà compromis ne retire ni le web shell, ni le client trojanisé, ni les identifiants volés. Préservez les journaux applicatifs, web, d’authentification et de pare-feu, comparez locale.php et les paquets TrueConf Client aux versions de confiance, puis recherchez les services inconnus, les tâches planifiées et les connexions sortantes inhabituelles. Enfin, révoquez les secrets — comptes de service, clés API, certificats — depuis une machine saine.

Pour les utilisateurs finaux : si vous avez reçu un installeur TrueConf Client non signé, mettez-le en quarantaine et vérifiez la signature numérique avant toute exécution. Un nom de fichier familier ou une adresse de téléchargement en HTTPS ne suffisent pas quand le serveur fournisseur est lui-même compromis.

Verdict

Si vous exploitez TrueConf Server, le correctif ne se discute pas : il est disponible depuis le 18 juin 2026 et les failles sont exploitées activement, sans authentification, sur un port exposé. Corrigez aujourd’hui, fermez le port 4307, puis traitez l’investigation comme une tâche distincte de la mise à jour.

Si vous n’utilisez pas TrueConf, le signal de fond vaut pour tout logiciel auto-hébergé de communication d’entreprise : un produit qui tourne chez vous hérite de votre responsabilité de mise à jour, et un correctif non déployé équivaut à une faille zero-day pour l’attaquant. La posture gagnante reste la même — corriger vite, réduire l’exposition, puis prouver que l’intrus est parti.

Références

• CISA — CISA Adds Two Known Exploited Vulnerabilities to Catalog, 20 août 2026
• Kaspersky Securelist — Head Mare delivers PhantomCore and PhantomGraph backdoors via an unpatched TrueConf server, 11 août 2026
• Kaspersky ICS CERT — TrueConf Server Missing Authentication for Critical Function, 11 août 2026
• TrueConf — TrueConf Server: Security Updates for June 2026, 18 juin 2026
• GridinSoft — CVE-2026-72529 and CVE-2026-72530 Exploited in TrueConf Server, 20 août 2026
• NVD — CVE-2026-72529, consulté le 21 août 2026