米当局、「TrueConf Server」の脆弱性2件を悪用リストへ追加

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、ビデオ会議などに用いられる「TrueConf Server」に判明した脆弱性2件が悪用されているとして注意を呼びかけ、同庁が運用する「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities：KEV）」へ追加した。

事案の詳細

CISAは、TrueConfが提供するビデオ会議・コミュニケーション機能を担うサーバソフトウェア「TrueConf Server」に関する2件の脆弱性について、実際に悪用が確認されたものとして取り扱いを強めた。具体的には、同庁が運用する「悪用が確認された脆弱性カタログ（KEV）」に、TrueConf Serverに関する脆弱性「CVE-2026-72529」「CVE-2026-72530」を2026年8月20日（現地時間）付けで追加し、広く注意喚起の対象とした。

当該カタログは、現実の攻撃で使われた、あるいは現在も使われている脆弱性を集約し、組織に対して優先的な対処を促す目的で更新されるもの。今回TrueConf Serverに関する2件の脆弱性が登録されたことは、これらが実際の攻撃で悪用されていること、そして対処の優先度が高いと当局が評価していることを意味する。

「CVE-2026-72529」は、重要な機能において認証が欠如していることに起因する脆弱性で、攻撃者は任意のスクリプトを実行できるおそれがあるとされている。一方「CVE-2026-72530」は、細工されたスクリプトを用いることで隔離環境外のホストシステム上で任意のコードを実行可能となる、コードインジェクションの脆弱性として説明されている。いずれもリモートから攻撃を受ける危険があり、ネットワーク経由での悪用が懸念される。

なお、公開情報からは、これらの脆弱性を悪用している攻撃者の具体的な主体、個別の攻撃キャンペーンの名称、被害件数や規模、対象となった業種・地域などの詳細な状況までは明らかになっていない。現時点で確認できる確かな事実は、CISAがTrueConf Serverに関する脆弱性2件（CVE-2026-72529、CVE-2026-72530）をKEVカタログへ追加し、悪用が確認された脆弱性として位置づけたという点に限られる。詳細な被害状況や攻撃の全容は現時点で不明である。

影響と背景

TrueConf Serverの脆弱性が「悪用が確認された」と当局により公式に位置づけられたことで、同製品を利用する組織にとっては対処の優先度が一段と高まる。KEVカタログへの追加は、すでに攻撃が発生している、あるいは攻撃が進行中であることを示すシグナルであり、単なる理論上のリスクではなく、現実の脅威として認識すべき段階に入ったことを示唆している。

脆弱性は放置されるほど攻撃に利用されやすくなり、とくに外部からアクセス可能なサーバ機器や業務用システムにおいては、侵入・不正操作・情報窃取などの影響が広がるおそれがある。TrueConf Serverはビデオ会議やコミュニケーション基盤として組織内外のユーザーを収容するケースが多く、サービスの中断だけでなく、ユーザー端末へのマルウェア配布や内部ネットワークへの足がかりとして悪用されるリスクも指摘されている。

CISAは、こうしたリスクを踏まえ、KEVカタログの更新を通じて、連邦政府機関を含む各組織に対し、TrueConf Serverに対するパッチ適用や構成見直しなどの是正措置を期限付きで求めている。一般企業・団体にとっても、KEVへの掲載は「早期に対応すべき重要脆弱性」であることを示す目安となる。

対策・今後の展望

• 利用状況の確認：自組織でTrueConf Serverを使用しているかどうかに加え、そのサーバがインターネットから到達可能な状態か、社内ネットワーク上でどのセグメントに配置されているかを棚卸しする。不要な公開や過度な権限付与がないかも併せて確認する。
• ベンダー情報の確認：TrueConf Serverに関する脆弱性情報や修正状況（アップデート、パッチ、設定変更による回避策の有無）を、TrueConfが提供する公式アドバイザリやリリースノートに基づいて確認する。CVE-2026-72529およびCVE-2026-72530に対する修正が含まれているバージョンや推奨設定を把握し、適用対象となる自組織の環境を明確化する。
• 優先度を上げた是正：運用変更が難しい場合でも、適用可能な更新や暫定的な設定変更（外部公開の制限、アクセス制御の強化、不要なポートや機能の停止など）がないかを確認し、対応の計画と期限を明確にする。KEV掲載脆弱性については、他の通常の更新よりも優先度を上げて、短期間で是正を完了させることが望ましい。

CSRIからの現場アドバイス

【現場で何が起きているか】CSRIの診断やMDR運用では、会議サーバや業務用サーバが「導入後そのまま」で更新が止まっている例が目立つ。資産台帳に載らず、担当者不在で放置され、脆弱性の是正が後回しになるケースが多い。その結果、KEVに掲載されるような悪用が確認された脆弱性が長期間放置され、攻撃者にとって格好の標的となってしまう状況が散見される。

【平易な解説】脆弱性は、例えるなら建物の鍵穴や窓の“欠け”のようなものです。米当局であるCISAが悪用リスト（KEV）に入れたということは、「その欠けを使って侵入する人が現実にいる」ということを意味します。理論上の危険ではなく、実際に使われている侵入口なので、優先して塞ぐ必要があります。

【中小企業が今週中にできること】まず社内でTrueConf Serverの利用有無と設置場所を確認し、当該サーバの管理者を決めて連絡窓口を一本化してください。次に、ベンダーが案内するCVE-2026-72529およびCVE-2026-72530に関する更新や推奨設定の有無を確認し、適用日程を今週中に確定させることが重要です。あわせて、インターネットからの到達性や不要な機能の公開状況を見直し、可能な範囲で一時的なリスク低減策（アクセス制御の強化や公開範囲の縮小など）も検討するとよいでしょう。

参照: 米当局、「TrueConf Server」の脆弱性2件を悪用リストへ追加