Die US-amerikanische Cybersicherheitsbehörde CISA (Cybersecurity and Infrastructure Security Agency) hat ihre Liste der bekanntermaßen ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) um zwei schwerwiegende Sicherheitslücken in der Videokonferenz-Lösung des Anbieters TrueConf erweitert.
Jüngsten Berichten zufolge wurden diese Schwachstellen bereits aktiv ausgenutzt, um Server zu kompromittieren und schädliche Software in Netzwerke einzuschleusen. Betroffene Organisationen sind nun aufgefordert, umgehend Schutzmaßnahmen zu ergreifen.
Schwachstellen ermöglichen Fernzugriff ohne Authentifizierung
Bei den neu in den KEV-Katalog aufgenommenen Sicherheitslücken handelt es sich um die Identifikatoren CVE-2026-72529 und CVE-2026-72530. Diese betreffen den TrueConf-Server, eine Software-Lösung für Videokommunikation und Zusammenarbeit. Die technischen Details verdeutlichen das hohe Risiko: Die Schwachstellen ermöglichen eine sogenannte nicht authentifizierte Remote-Codeausführung (RCE).
Angreifer sind dadurch in der Lage, über den Port 4307 bösartigen Programmcode auf den Zielsystemen auszuführen, ohne sich zuvor gegenüber dem System ausweisen zu müssen. Dieser Port wird üblicherweise für die Kommunikation innerhalb der TrueConf-Infrastruktur genutzt. Durch die Ausnutzung dieser Einfallstore erlangen unbefugte Dritte weitreichende Kontrolle über die betroffenen Server-Instanzen.
Angesichts der zunehmenden Professionalisierung von Cyberangriffen ist ein proaktiver Schutz der IT-Infrastruktur für Unternehmen unerlässlich. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt auf, wie Sie Sicherheitslücken effektiv schließen. Cyber Security Awareness Trends jetzt kostenlos herunterladen
Verteilung der PhantomCore-Hintertür beobachtet
Die Dringlichkeit der Warnung wird durch Erkenntnisse unterstrichen, wonach die Schwachstellen bereits für gezielte Angriffe eingesetzt wurden. Sicherheitsanalysen ergaben, dass Akteure die Lücken nutzten, um TrueConf-Server zu übernehmen. In der Folge wurde ein manipulierter Windows-Client verteilt, der als Hintertür fungiert.
Diese als „PhantomCore“ bezeichnete Schadsoftware ermöglicht es den Angreifern, dauerhaften Zugriff auf die infizierten Windows-Systeme zu behalten. Einmal etabliert, kann eine solche Hintertür für Spionage, Datendiebstahl oder die Vorbereitung weiterer Angriffe innerhalb des betroffenen Unternehmensnetzwerks genutzt werden.
Die Kombination aus einer leicht ausnutzbaren Server-Schwachstelle und der automatisierten Verteilung eines Backdoor-Clients stellt für Administratoren eine erhebliche Bedrohung dar.
Der Schutz vor komplexen Schadprogrammen wie Hintertüren und Phishing-Versuchen erfordert oft nur wenige, aber gezielte strategische Schritte. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie die Hacker-Abwehr in Ihrem Unternehmen in vier Schritten nachhaltig stärken. Anti-Phishing-Paket für Unternehmen gratis anfordern
Verbindliche Patch-Fristen für Behörden und verfügbare Fixes
Die CISA hat aufgrund der aktiven Ausnutzung eine verbindliche Anweisung für alle US-Bundesbehörden herausgegeben. Diese sind verpflichtet, die Sicherheitslücken in ihren Systemen bis zum 10. September zu schließen. Während sich diese Anordnung direkt an Regierungsstellen richtet, dient sie weltweit als Signal für Unternehmen und Organisationen im privaten Sektor, die Dringlichkeit der Updates ebenfalls zu priorisieren.
Der Hersteller TrueConf hat bereits reagiert und entsprechende Sicherheitsupdates bereitgestellt. Um die Schwachstellen CVE-2026-72529 und CVE-2026-72530 zu beheben, müssen Administratoren ihre Server-Installationen auf eine der folgenden Versionen aktualisieren:
- TrueConf Server 5.3.9
- TrueConf Server 5.4.9
- TrueConf Server 5.5.5
Sicherheitsexperten raten dazu, neben dem Einspielen der Patches auch die Netzwerkprotokolle auf verdächtige Aktivitäten rund um den Port 4307 zu untersuchen, um mögliche bereits erfolgte Kompromittierungen frühzeitig zu erkennen. Die Aufnahme in den KEV-Katalog der CISA verdeutlicht, dass es sich hierbei nicht mehr um theoretische Risiken handelt, sondern um Werkzeuge, die bereits im Arsenal von Cyber-Angreifern vorhanden sind.
