CISA ha ordinato alle agenzie federali USA di correggere entro due settimane due vulnerabilità critiche in TrueConf Server, piattaforma di comunicazione aziendale, già sfruttate attivamente da cybercriminali per esecuzione di codice remoto.
La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha imposto alle agenzie federali di intervenire con urgenza per correggere due gravi vulnerabilità attivamente sfruttate nella piattaforma di comunicazione TrueConf Server. Questo software, pensato per la messaggistica e la videoconferenza sicura in ambito aziendale, si distingue da soluzioni cloud come Zoom o Microsoft Teams perché opera esclusivamente all'interno della rete locale dell'organizzazione.
Le vulnerabilità e i rischi per le infrastrutture federali
La prima vulnerabilità, identificata come CVE-2026-72529, è una falla critica di autenticazione mancante che consente a un attaccante remoto e non autenticato di eseguire script arbitrari sul server non aggiornato. Secondo il team di sicurezza TrueConf, basta una connessione sulla porta 4307/TCP per sfruttare una funzione non documentata e compromettere il sistema.
La seconda vulnerabilità, CVE-2026-72530, anch'essa di gravità critica, permette a un attore non autenticato di eseguire codice remoto tramite attacchi di injection complessi. TrueConf spiega che una gestione impropria della generazione del codice può consentire a chi ha già ottenuto l'esecuzione di codice nell'ambiente isolato del server di uscire dal sandbox e impartire comandi al sistema operativo sottostante.
Scadenze e minacce attive: l'allerta di CISA
Giovedì, CISA ha inserito entrambe le vulnerabilità nel suo catalogo KEV, ordinando alle agenzie federali civili (FCEB) di mettere in sicurezza i server entro due settimane, fissando la scadenza al 3 settembre. L'agenzia sottolinea che vulnerabilità di questo tipo rappresentano un vettore di attacco frequente e un rischio significativo per l'intera infrastruttura federale.
Sebbene CISA non abbia fornito dettagli sugli attacchi in corso, Kaspersky ha segnalato che il gruppo hacktivista Head Mare sfrutta CVE-2026-72529 e CVE-2026-72530 almeno da luglio 2026, sostituendo gli installer dei client con versioni malevole per diffondere malware con backdoor. Secondo Kaspersky, diverse campagne Head Mare hanno preso di mira organizzazioni russe in settori come trasporti, energia, IT, elettronica e sviluppo software.
Precedenti attacchi e contesto internazionale
Ad aprile 2026, Check Point Research aveva già documentato attacchi zero-day contro TrueConf (CVE-2026-3502) nell'ambito dell'operazione "Operation True Chaos", attribuita a gruppi di cybercriminali cinesi che compromettevano gli utenti tramite aggiornamenti client trojanizzati.
Il tema delle vulnerabilità sfruttate attivamente nei software di comunicazione è ricorrente: anche i gateway SonicWall SMA1000 sono stati recentemente presi di mira da ransomware, come approfondito nell'analisi su attacchi a dispositivi SonicWall e le raccomandazioni CISA.
