Descripción
TrueConf Server contiene una vulnerabilidad de inyección de código que podría permitir a un atacante remoto no autorizado con acceso de red a través del puerto 4307/TCP utilizar un script especialmente manipulado para salir del entorno aislado y ejecutar código arbitrario en el sistema anfitrión.
Acción recomendada
Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 26-04.
Referencias
- Aviso de trueconf.com trueconf.com/blog/news/security-fixes-updates-and-advisories
- Aviso de ics-cert.kaspersky.com ics-cert.kaspersky.com/advisories/2026/08/11/trueconf-server-breakout…
- BOD 26-04 cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updat…
- Requisitos de triaje forense cisa.gov/news-events/directives/bod-26-04-implementation-guidance-pri…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2026-72530
Ver el texto original en inglés (CISA)
TrueConf Server Code Injection Vulnerability
TrueConf Server contains a code injection vulnerability that could allow an unauthorized remote attacker with network access via port 4307/TCP to use a specially crafted script to break out of the isolated environment and execute arbitrary code on the host system.
Required action: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Notes: https://trueconf.com/blog/news/security-fixes-updates-and-advisories ; https://ics-cert.kaspersky.com/advisories/2026/08/11/trueconf-server-breakout-from-isolated-environment/ ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-72530
Otras vulnerabilidades de TrueConf en el catálogo
- CVE-2026-72529 Vulnerabilidad de falta de autenticación en una función crítica en TrueConf Server Alta 20-08-2026
- CVE-2026-3502 Vulnerabilidad de descarga de código sin verificación de integridad en TrueConf Client Alta 02-04-2026