TrueConf Server bị khai thác để thay thế bộ cài khách bằng mã độc PhantomCore
"Threat actors linked to Head Mare exploited two TrueConf Server vulnerabilities, KLCERT-26-057 and KLCERT-26-058, to gain NT AUTHORITY\SYSTEM execution, deploy a web shell, and replace legitimate client installers with infected versions carrying the PhantomCore backdoor/RAT. The flaws affected TrueConf Server 5.3.x through 5.5.x and earlier, and were patched in versions 5.3.9, 5.4.9, and 5.5.5 released on June 18, 2026."
Tác động cao do thực thi mã với quyền SYSTEM, cài web shell và phát tán backdoor PhantomCore qua bộ cài hợp lệ.
Có thể gây mất an toàn hạ tầng, rò rỉ dữ liệu nội bộ và gián đoạn triển khai phần mềm cho người dùng cuối.
Nhóm tấn công được theo dõi với tên Head Mare đã khai thác hai lỗ hổng trên TrueConf Server để giành quyền thực thi mã với NT AUTHORITY\\SYSTEM, triển khai web shell và thay thế bộ cài khách hợp lệ bằng phiên bản nhiễm PhantomCore. Theo ghi nhận, chiến dịch nhắm vào các tổ chức tại Nga trong nhiều lĩnh vực như công nghiệp, điện tử, vận tải, năng lượng, IT và phát triển phần mềm.
Hai lỗ hổng được gắn nhãn KLCERT-26-057 và KLCERT-26-058 cho phép thực thi mã tùy ý với đặc quyền cao hơn. Chuỗi tấn công bắt đầu từ cổng TCP 4307 mặc định của máy chủ, sau đó kẻ tấn công cài web shell vào tệp ...\public\js\locale.php để duy trì truy cập và thu thập thông tin hạ tầng.
Kaspersky cho biết các phiên bản bị ảnh hưởng gồm TrueConf Server 5.3.x đến 5.3.9, 5.4.x đến 5.4.9, 5.5.x đến 5.5.5 và các bản cũ hơn. Bản vá đã được phát hành trong các phiên bản 5.3.9, 5.4.9 và 5.5.5 vào 18/06/2026.
Khuyến nghị: cập nhật ngay lên bản mới nhất, kiểm tra cổng 4307, rà soát dấu hiệu web shell và thay thế bộ cài nội bộ nếu có nghi ngờ bị can thiệp.