Vulnerabilidade crítica no TrueConf Server já é explorada

A CISA adicionou nesta quinta-feira (20/08) duas vulnerabilidades do TrueConf Server ao catálogo Known Exploited Vulnerabilities: CVE-2026-72529 (CVSS 9,8, falta de autenticação) e CVE-2026-72530 (CVSS 9,0, injeção de código). Juntas, formam a cadeia que o grupo Head Mare vem usando desde julho para instalar o backdoor PhantomCore em servidores de videoconferência não corrigidos.

O que a CISA confirmou

As duas falhas afetam o TrueConf Server nas versões 5.3.x até 5.3.9, 5.4.x até 5.4.9, 5.5.x até 5.5.5 e anteriores. O vendor já havia corrigido o problema em 18 de junho de 2026, com o lançamento das versões 5.3.9, 5.4.9 e 5.5.5 — mas a inclusão no KEV mostra que boa parte das instalações segue desatualizada dois meses depois.

A Kaspersky, que rastreia o caso sob os identificadores internos KLCERT-26-057 e KLCERT-26-058, detectou os primeiros ataques em julho de 2026 contra empresas russas dos setores de instrumentação, eletrônica, transporte, energia, TI e desenvolvimento de software.

Como funciona a cadeia de ataque

O ponto de entrada é a porta TCP 4307, aberta por padrão em qualquer instalação do TrueConf Server:

1. O atacante se conecta ao servidor pela porta 4307, sem precisar de credenciais.
2. Explora a CVE-2026-72529 para executar um script malicioso dentro de um ambiente isolado do servidor.
3. Usa a CVE-2026-72530 para escapar desse isolamento e rodar comandos diretamente no sistema operacional.
4. Obtém execução de código com privilégios de NT AUTHORITY\SYSTEM.
5. Substitui o arquivo public/js/locale.php por um web shell, garantindo acesso remoto persistente.

A partir do web shell, os invasores mapeiam a infraestrutura de TI, acessam o banco de dados do TrueConf com privilégios elevados e trocam o instalador oficial do TrueConf Client por uma versão adulterada — transformando o próprio servidor de videoconferência em um canal de distribuição de malware para todos os participantes que baixarem o cliente.

PhantomCore e PhantomGraph: o payload final

O instalador envenenado entrega dois componentes. O backdoor PhantomCore funciona como trojan de acesso remoto (RAT). Já o PhantomGraph, que compartilha trechos de código com o PhantomCore, é dividido em duas DLLs: SysExcSvc.dll, que recebe comandos e exfiltra resultados usando o Microsoft OneDrive como canal de comando e controle, e SysReadSvc.dll, responsável por interpretar e executar os comandos recebidos.

Segundo a Kaspersky, a divisão em dois módulos é proposital: dificulta a detecção por ferramentas de EDR, já que nenhum dos dois arquivos concentra toda a lógica maliciosa. A persistência é instalada via PowerShell com payload em Base64, registrando as DLLs como serviços do Windows. Os operadores também abrem um túnel reverso SSH, fazem dump de memória do processo lsass.exe e coletam informações básicas do sistema com comandos como hostname e whoami.

Quem é o Head Mare

Head Mare não é novidade nesse alvo: em abril de 2026, a Positive Technologies já havia documentado o grupo explorando três outras vulnerabilidades do TrueConf (BDU:2025-10114, BDU:2025-10115 e BDU:2025-10116) desde setembro de 2025, para distribuir web shells em PHP. Em março, a Check Point relatou ainda uma falha distinta no TrueConf Client (CVE-2026-3502) explorada como zero-day contra órgãos governamentais do Sudeste Asiático, num ataque não atribuído ao Head Mare e usado para instalar o framework de comando e controle Havoc.

O padrão recorrente reforça um ponto: servidores de videoconferência self-hosted viraram alvo prioritário porque concentram privilégios altos, ficam expostos a redes internas amplas e raramente entram no ciclo de patch tão rápido quanto sistemas operacionais ou firewalls.

Como se proteger

1. Atualize o TrueConf Server para 5.3.9, 5.4.9, 5.5.5 ou posterior imediatamente.
2. Restrinja o acesso à porta 4307/TCP a redes de gerência confiáveis — ela não precisa estar exposta à internet nem a toda a LAN.
3. Verifique a integridade do arquivo public/js/locale.php e compare com uma instalação limpa.
4. Audite os instaladores do TrueConf Client distribuídos internamente: se o servidor foi comprometido, o pacote pode estar trojanizado.
5. Monitore conexões de saída incomuns para o Microsoft OneDrive a partir do servidor de conferência — é o canal de C2 usado pelo PhantomGraph.
6. Procure por dumps do processo lsass.exe e túneis SSH reversos não autorizados nos logs.

Vale lembrar que a antiga BOD 22-01, que fixava prazo de 21 dias corridos para agências federais americanas corrigirem falhas do catálogo KEV, foi revogada em 10 de junho de 2026 e substituída pela BOD 26-04, que adota remediação priorizada por risco em vez de prazo único. Na prática, isso não muda a urgência para quem roda TrueConf: uma falha com CVSS 9,8, sob exploração ativa e com malware documentado, fica no topo de qualquer fila de risco.

Perguntas frequentes

Só quem usa TrueConf Server está exposto, ou o TrueConf Client sozinho já é um risco?
A cadeia CVE-2026-72529/72530 exige o TrueConf Server vulnerável. O Client é afetado de forma indireta, como vetor de distribuição, se o servidor que o hospeda for comprometido.

Atualizar para a versão corrigida remove um comprometimento que já aconteceu?
Não. O patch fecha a porta de entrada, mas não remove web shells, serviços maliciosos ou instaladores trojanizados já implantados. É preciso auditar o servidor antes e depois da atualização.

A porta 4307 precisa mesmo ficar aberta por padrão?
Não para todo mundo. Ela existe para funções administrativas do TrueConf Server; restringi-la por firewall a IPs de gerência não quebra o uso normal de videoconferência pelos usuários finais.

Empresas fora da Rússia estão fora do radar do Head Mare?
Os ataques documentados até agora miram organizações russas. Isso não neutraliza o risco técnico: qualquer instalação exposta e desatualizada do TrueConf Server é explorável pela mesma cadeia, independentemente de quem a opere.

Como saber se meu TrueConf Server já foi comprometido?
Verifique a integridade de public/js/locale.php, procure serviços Windows não reconhecidos com nomes como SysExcSvc ou SysReadSvc, e audite conexões de saída para o OneDrive originadas do servidor.

Conclusão

A entrada de CVE-2026-72529 e CVE-2026-72530 no catálogo KEV da CISA confirma o que a Kaspersky já vinha documentando desde julho: a cadeia está sendo explorada em produção, não é uma prova de conceito. Quem administra TrueConf Server precisa tratar a atualização para 5.3.9/5.4.9/5.5.5 como prioridade imediata e, mais importante, assumir que qualquer instância exposta na porta 4307 sem patch pode já estar comprometida — o que torna a auditoria pós-patch tão obrigatória quanto o patch em si.